离线构建机如何处理证书吊销检查?

离线构建机能够找到签名身份、完成签名验证，并不意味着已经确认签名证书未被吊销。吊销状态可能需要额外的信任信息；当检查所需信息不可用时，正确结果是“未验证”，而不是“未吊销”。

先确认检查实际覆盖了什么

吊销检查应与证书有效期、证书链构建和签名完整性分开记录。这些检查回答的问题不同：证书仍在有效期内，不代表其未被吊销；最终产物的签名验证成功，也不应直接视为吊销状态已确认。

排查时，应先明确验证对象和实际策略：检查针对的是哪张签名证书及其相关证书，构建机能否获得策略所需的吊销信息，工具遇到信息不可用时会报错、继续执行，还是给出其他结果。不能仅凭命令成功或展示出的证书信息，推断在线吊销检查已经完成。

为离线环境设计发布决策

如果隔离要求允许受控的信息交换，可以在隔离边界外获取验证策略所需的吊销信息，再按组织批准的方式导入构建环境。关键不是单纯保存一份数据，而是确认其适用对象、来源和时效，并记录验证时使用的材料及策略。若这些条件无法确认，状态仍应标记为未验证。

发布门禁至少应区分“已确认符合策略”“明确不符合策略”和“无法确认”。关键发布策略不允许状态未知时，应暂停发布并进入人工复核，而不是全局关闭签名验证。确需例外，应记录受影响的证书和产物、风险、负责人、补偿措施及例外期限。

诊断证据应关联最终交付物，保留检查时间、系统时间状态、证书公开字段、工具版本、验证策略和原始结果。私钥、钥匙串密码等敏感材料不应进入日志。若后续重新打包或修改应用，还应重新验证交付物；吊销状态的判断也不能替代对签名完整性、描述文件及安装条件的检查。