slsa-verifier

SLSA 供应链来源校验

补充说明

slsa-verifier 校验制品的 SLSA provenance，确认它由可信的构建器和源码构建，没有被篡改。适合在部署前做供应链准入。

核心概念：provenance、builder ID、source URI、digest、attestation。

常用示例

安装：

go install github.com/slsa-framework/slsa-verifier/v2/cli/slsa-verifier@latest
slsa-verifier version

校验镜像/制品：

slsa-verifier verify-artifact app.tar.gz \
  --provenance-path provenance.intoto.jsonl \
  --source-uri github.com/example/app \
  --source-tag v1.0.0

校验容器镜像：

slsa-verifier verify-image registry.example.com/app:1.0.0 \
  --source-uri github.com/example/app \
  --source-tag v1.0.0

在 GitHub Actions 中生成 provenance 后，把 attestation 作为 artifact 保存，部署前校验。

易错点与排错

• provenance 与制品 digest 不匹配，说明被篡改或版本错误。
• source-uri 格式不正确，支持 GitHub/GitLab 等特定格式。
• 构建器 ID 不可信，校验通过也不代表安全。
• 只校验签名不校验源码和构建器，供应链风险仍在。
• provenance 文件丢失或没有随制品分发。
• 使用 latest tag，无法对应到具体源码版本。
• 不同 SLSA 级别要求不同，先明确目标级别。