使用SigStore签署CPAN发布
内容提要
在维也纳的Perl工具链峰会上，决定弃用Module::Signature，因其安全性不足。新插件Dist::Zilla::Plugin::SigStore::SignRelease使用SigStore签署CPAN发布，利用短期证书进行身份验证，并在发布时生成签名包上传，同时记录在Rekor透明日志中。虽然PAUSE尚未验证SigStore签名，但用户可自行验证。
关键要点
-
在维也纳的Perl工具链峰会上，决定弃用Module::Signature，因其安全性不足。
-
新插件Dist::Zilla::Plugin::SigStore::SignRelease使用SigStore签署CPAN发布，利用短期证书进行身份验证。
-
插件在发布时生成签名包并上传，同时记录在Rekor透明日志中。
-
用户可以自行验证SigStore签名，尽管PAUSE尚未验证这些签名。
-
使用该插件需要在Dist::Zilla配置文件中移除现有上传器，并添加新插件。
延伸解读
安全性的重要性
在Perl工具链峰会上，弃用Module::Signature是因为其安全性不足。随着网络安全威胁的增加，确保软件发布的安全性变得尤为重要。新插件Dist::Zilla::Plugin::SigStore::SignRelease通过使用短期证书来增强身份验证，提供了更高的安全保障。
用户自验证的灵活性
虽然PAUSE尚未验证SigStore签名，但用户可以自行验证。这种灵活性使得开发者能够在没有官方支持的情况下，依然能够确保发布的安全性。用户应关注如何使用cosign工具进行验证，以确保其发布的完整性。
迁移到新插件的注意事项
在使用新插件之前，开发者需要在Dist::Zilla配置文件中移除现有的上传器，并添加SigStore插件。这一过程可能会影响现有的发布流程，因此建议开发者在迁移前做好充分的测试，以避免发布中断。
延伸问答
为什么决定弃用Module::Signature？
因为Module::Signature的安全性不足，无法提供所需的安全保障。
Dist::Zilla::Plugin::SigStore::SignRelease是如何工作的？
该插件在发布时调用cosign进行签名，生成签名包并上传，同时记录在Rekor透明日志中。
如何在Dist::Zilla中配置SigStore插件？
需要在dist.ini中移除现有上传器，并添加[SigStore::SignRelease]插件。
用户如何验证SigStore签名？
用户可以使用cosign命令自行验证签名，尽管PAUSE尚未验证这些签名。
SigStore使用了什么样的证书进行身份验证？
SigStore使用短期的、由OIDC颁发的证书进行身份验证。
PAUSE是否验证SigStore签名？
目前PAUSE尚未验证SigStore签名。
