mokkunsuzuki-code/stage352
GitHub: mokkunsuzuki-code/stage352
Stage352 是一个混合签名清单验证层，用于校验 CI 构建会话的签名完整性、哈希一致性和 Sigstore OIDC 合规性，防止伪造签名或缺失签名被误判为已验证。
Stars: 0 | Forks: 0
# Stage352：混合签名清单验证层
Stage352 通过验证混合签名清单对 Stage351 进行了扩展。
## Stage352 验证的内容
- `docs/signatures/stage351_signature_manifest.json` 存在
- `docs/enforcement/enforcement_session.json` 存在
- 存在 Stage351 所需的字段
- Stage351 的 `session_sha256` 与 Stage350 的 `session_sha256` 匹配
- `canonical_payload_sha256` 已重新计算并完成检查
- `signature_manifest_sha256` 已重新计算并完成检查
- CI / 本地环境保持一致
- Sigstore OIDC 要求保持一致
- PQC ML-DSA 的 `intent_only` 状态未被错误地视为真实签名
- 未将缺失的签名声称为已验证
- 未引用私钥和原始密钥
## 公开证据
- `docs/signatures/stage352_signature_manifest_verification.json`
## 决策模型
- `accept_metadata_only`：仅限本地元数据的清单在结构上有效且受哈希绑定
- `accept`：满足 CI 环境和所需签名条件
- `warn`：非关键性不一致
- `reject`：哈希不匹配、结构不匹配或伪造的 PQC/签名声明
- `block`：CI 需要 Sigstore OIDC 但缺失
## 安全边界
Stage352 不会公开私钥、原始密钥、伪造签名或未经证实的 PQC 声明。
标签：DevSecOps, Homebrew安装, Sigstore, 上游代理, 后量子密码, 哈希校验, 密码学, 手动系统调用, 签名验证, 逆向工具