3. Rekor 透明日志数据模型：日志条目结构详解

Rekor 透明日志的核心数据单元是 LogEntry。理解其内部结构是进行高效查询、性能调优以及构建可信验证链路的基础。一个 LogEntry 并非简单的键值对，而是由三个紧密关联的字段构成的复合对象：Body、LogIndex 与 Verification（内含 SignedEntryTimestamp）。

3.1 LogEntry 顶层结构概览

当通过 Rekor API 查询一个条目时，返回的 JSON 对象顶层结构如下：

{
  "Body": "Base64 编码的字符串",
  "LogIndex": 123456,
  "IntegratedTime": 1700000000,
  "LogID": "c0d23d6ad40653f...",
  "Verification": {
    "SignedEntryTimestamp": "Base64 编码的字符串",
    "InclusionProof": {
      "LogIndex": 123456,
      "RootHash": "sha256...",
      "TreeSize": 500000,
      "Hashes": ["sha256...", "sha256..."]
    }
  }
}

下表对顶层字段进行简要说明：

3.2 Body 字段：条目的核心载荷

Body 字段是一个 Base64 编码的字符串，解码后是一个 JSON 对象。其结构根据条目类型（kind）而不同。最常见的类型是 hashedrekord 和 rekord。以 hashedrekord 为例，解码后的结构如下：

{
  "apiVersion": "0.0.1",
  "kind": "hashedrekord",
  "spec": {
    "data": {
      "hash": {
        "algorithm": "sha256",
        "value": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855"
      }
    },
    "signature": {
      "content": "Base64 编码的签名",
      "publicKey": {
        "content": "Base64 编码的公钥"
      }
    }
  }
}

Body 字段关键子字段详解：

• kind：标识条目类型，如 hashedrekord（仅存储哈希）、rekord（存储原始数据）、alpine、helm 等。查询时可通过 ?entryType=hashedrekord 过滤。
• spec.data：被签名的数据。对于 hashedrekord，仅存储哈希值，保护数据隐私。
• spec.signature.content：对 spec.data 的签名值。
• spec.signature.publicKey.content：用于验证签名的公钥。

3.3 Verification.SignedEntryTimestamp (SET)：日志的权威背书

SignedEntryTimestamp（SET）是 Rekor 日志服务器对 整个 LogEntry（包括 Body 和 LogIndex）的签名。它是证明“该条目确实被 Rekor 日志接受并记录”的核心证据。

SET 的生成与验证流程：

1. 构造待签名数据： 将 LogIndex、IntegratedTime、Body 的哈希以及 LogID 按特定格式序列化。
2. 日志签名： Rekor 服务器使用其私钥对该数据进行签名，生成 SET。
3. 客户端验证： 客户端使用 Rekor 日志的公钥（通过 rekor-cli get-public-key 或从 LogID 推导）验证 SET 的签名。

3.4 Verification.InclusionProof：Merkle 树包含证明

InclusionProof 是证明一个特定 LogEntry 存在于 Rekor 的 Merkle 树中的密码学证据。它由以下字段组成：

通过 LogIndex、Hashes 和 RootHash，客户端可以在本地计算并验证该条目是否被包含在指定 TreeSize 的 Merkle 树中。

3.5 数据模型关系与查询路径

下面的 SVG 图展示了 LogEntry 内部字段之间的关系，以及从查询到验证的典型路径。

3.6 字段对比与性能影响

下表总结了三个核心字段在查询、存储和验证方面的特性，帮助你在调优时做出权衡：