sigstore

https://docs.sigstore.dev/

使用sigstore证书链，对ephemeral signing public key签名。

source方无需维护ephemeral signing key。