大卫·惠勒：PGXN认证RFC
内容提要
我起草了PGXN RFC-5，建议用JWS签名替代SHA-1哈希，以增强PGXN发布的认证。在META.json中新增“certs”属性，包含PGXN生成的JWS签名，未来可能支持多重签名。pgxn_meta v0.4.0已发布，支持新格式，但签名验证预计2025年初完成。
关键要点
-
起草了PGXN RFC-5，建议用JWS签名替代SHA-1哈希，以增强PGXN发布的认证。
-
在META.json中新增“certs”属性，包含PGXN生成的JWS签名，未来可能支持多重签名。
-
pgxn_meta v0.4.0已发布，支持新格式，但签名验证预计2025年初完成。
-
新格式允许客户端验证下载文件的真实性，并支持使用PGXN提供的公钥进行验证。
-
感谢David Christensen和Steven Miller的早期评审，期待更多反馈。
延伸解读
JWS签名的优势
使用JWS签名替代SHA-1哈希，可以显著提高PGXN发布的安全性。JWS不仅能验证文件的完整性，还能确保文件的来源可信，减少恶意软件的风险。随着网络安全威胁的增加，这种改进尤为重要。
META.json的变化
在META.json中新增的“certs”属性，允许用户通过PGXN提供的公钥验证下载文件的真实性。这一变化将提升用户对下载内容的信任度，尤其是在开源软件领域，确保软件的安全性和可靠性至关重要。
未来的多重签名支持
未来可能支持多重签名的功能，将使得多个作者或实体能够为同一发布版本进行签名。这不仅增强了认证的灵活性，也为用户提供了更多的安全保障，尤其是在需要多个信任来源的情况下。
延伸问答
PGXN RFC-5的主要建议是什么？
PGXN RFC-5建议用JWS签名替代SHA-1哈希，以增强PGXN发布的认证。
META.json文件中新增了什么属性？
在META.json中新增了“certs”属性，包含PGXN生成的JWS签名。
pgxn_meta v0.4.0版本有什么新功能？
pgxn_meta v0.4.0版本支持新的格式，并能重写PGXN v1发布字段。
PGXN认证的签名验证预计何时完成？
签名验证预计在2025年初完成。
新格式如何帮助客户端验证文件的真实性？
新格式允许客户端使用PGXN提供的公钥验证下载文件的真实性。
未来可能支持什么功能？
未来可能支持多重签名，允许作者或其他实体使用自己的密钥签名发布。
