可信发布：软件包安全的新标杆——基于OpenID Connect的无密钥认证机制

可信发布：技术原理

可信发布本质上是一种新型认证机制，其核心创新在于无需预共享密钥。该技术基于OpenID Connect（OIDC）标准构建，利用OAuth2框架实现身份声明验证：

OIDC工作流程：
- GitHub Actions等CI平台作为身份提供商（IdP）
- 生成包含工作流元数据的JWT令牌（含数字签名）
- 典型声明包括仓库路径、工作流文件名、触发用户等

信任建立阶段：

1
2
3
4
5
6


# PyPI项目需预先配置的信任关系示例
trusted_publishers:
  - provider: github
    repository: "hamilcar/cartago"
    workflow: "release.yml"
    environment: "production"

安全优势对比

维度	传统API令牌	可信发布系统
凭证生命周期	长期有效（需手动撤销）	临时令牌（自动过期）
攻击面	所有CI步骤可读取	仅限指定工作流环境
泄露恢复	需人工撤销并重新部署	攻击者失去访问即自动失效

威胁模型创新

防范账户复活攻击：
- 绑定GitHub用户稳定ID（非用户名）
- 即使攻击者接管旧用户名也无法通过验证

精细化权限控制：

1
2
3


# PyPI实现的发布权限分离示例
if token.claims.get("environment") != "verified":
    raise PublisherAuthorizationError

实施案例

GitHub Actions发布流程：

工作流触发时获取OIDC令牌（通过actions/id-token@v1）
PyPI验证令牌签名及声明匹配
颁发15分钟有效期的临时API令牌
使用twine upload完成发布

未来展望

该技术可扩展至：

Rust Crates
RubyGems
NPM等生态其临时凭证特性为构建审计溯源系统奠定基础，如验证发布版本与源码的密码学对应关系。