代码与文档签名
运行发布版本之前，先确认它到底是什么。验证 Sigstore 签名包和 npm 来源证明，一直追溯到构建它们的仓库、工作流和提交；读取 SLSA 和 in-toto 证明；对照 allowed_signers 检查 SSH 签名的 Git 提交和文件；以及查看 Windows 可执行文件、Android APK 和 Java 归档文件的签名。文档和媒体也不例外：无需上传任何内容即可验证 PDF 签名（PAdES、LTV）和签名邮件（S/MIME），解码 RFC 3161 时间戳，读取图片和视频的内容凭证（C2PA），以及证明密钥是在 YubiKey 上生成的。文件和密钥都留在你的浏览器中；npm 检测工具会向公共注册表查询你指定的包，可选的 Sigstore 二次检查只向我们的服务器发送签名包和文件摘要。
12 个工具
Sigstore 签名包验证工具
cosign、npm 和 GitHub 证明的签名包
对照所签名的文件和你预期的身份验证 Sigstore 签名包：Fulcio 证书及其 SCT、Rekor 日志条目及其包含证明和检查点、已签名时间戳和 RFC 3161 时间戳、DSSE 签名和消息签名——离线完成，就像 cosign verify-blob 一样。
打开工具npm 来源证明检测
npm 包究竟是在哪里构建的
输入包名和版本：你的浏览器会获取注册表中的证明，并在此页面验证——包括经 Sigstore 签名的 SLSA 来源证明和注册表的发布证明——一直追溯到构建该 tarball 的仓库、工作流和提交。
打开工具in-toto 证明查看器
SLSA 来源证明、DSSE 和 .intoto.jsonl
粘贴 DSSE 信封、.intoto.jsonl 文件、Sigstore 签名包或 npm 的证明列表：查看声明的主体及其谓词的内容——SLSA 来源证明、验证摘要、SBOM——并用你的密钥或内嵌证书验证签名。
打开工具SSH 签名验证工具
ssh-keygen -Y 文件、已签名的提交和标签
依据 allowed_signers 文件检查用 ssh-keygen -Y sign 生成的 SSHSIG 签名，或用 SSH 密钥签名的 Git 提交或标签——涵盖命名空间、主体、有效期和 SSH 证书，规则与 ssh-keygen 相同。
打开工具Authenticode 查看器
Windows EXE、DLL 和 SYS 文件的签名
拖放 Windows 可执行文件：重新计算其 Authenticode 映像哈希并验证每个签名——签名者证书和证书链、嵌套的 SHA-1 和 SHA-256 签名、RFC 3161 时间戳和副署签名——并对隐藏在签名之后的数据发出警告。
打开工具APK 签名查看器
Android APK 签名方案 v1～v4
拖放 APK（及其 .idsig）：像 apksigner 一样验证每种签名方案——v2、v3 和 v3.1 签名者及其内容摘要、SDK 范围和密钥轮换谱系，v4 Merkle 树和 v1 JAR 签名——并显示 Android 用来识别应用的证书指纹。
打开工具JAR 签名查看器
逐个条目检查已签名的 JAR、WAR 和 EAR 文件
拖放 JAR、WAR 或 EAR 文件：每个条目都与清单比对，每个签名文件都与清单比对，每个 PKCS #7 块都与其签名文件比对，并检查时间戳和签名者的证书链——相当于逐个条目给出 jarsigner -verify -strict 的结论。
打开工具PDF 签名验证工具
无需上传即可检查 PDF 签名
拖入已签名的 PDF，查看每个签名覆盖的范围、文档在签名后是否被改动、由谁签名以及何时签名。PAdES、CMS、RFC 3161 时间戳和 LTV 数据都在你的浏览器中检查——文件不会上传。
打开工具S/MIME 签名验证工具
在本地检查签名邮件
粘贴已签名的邮件，或打开 .eml、.p7m 或 .p7s 文件：在你的浏览器中检查 CMS 签名、签名者证书、证书中的电子邮件地址是否与 From: 头一致，以及证书链。
打开工具时间戳令牌查看器
解码并验证 RFC 3161 令牌
粘贴时间戳令牌、响应或请求：解码 TSTInfo，用你的文件核对消息印记，用请求核对 nonce，并验证 TSA 签名和证书链——全部在你的浏览器中完成。
打开工具C2PA 内容凭证查看器
读取并验证内容凭证
拖放照片、视频或音频文件，读取其内容凭证：由谁签名、用哪些工具创建和编辑、是否用到 AI、由哪些成分制作而成——以及文件在签名后是否被改动过。内容凭证由 C2PA 参考实现在你的浏览器中读取。
打开工具YubiKey 证明验证工具
证明密钥是在 YubiKey 上生成的
粘贴 YubiKey PIV 证明和设备的 f9 证书：工具会验证到 Yubico CA 的证书链，并读取插槽、固件、序列号以及 PIN 和触摸策略——这样你就能在签发证书之前要求密钥必须由硬件生成。
打开工具