OIDC可信发布如何验证仓库与工作流身份

OIDC 可信发布的关键，不是“CI 平台签发了身份令牌”，而是包注册平台能否确认：申请发布的工作流，确实来自预先授权的仓库与执行路径。令牌证明的是一个工作流身份声明；信任策略则决定哪些声明组合可以换取发布权限。

验证时应逐项核对绑定范围。组织或账号、仓库、工作流，以及平台支持时的环境，都应与预期发布来源一致。只绑定“某个代码托管平台”过于宽泛；只确认仓库，也可能遗漏工作流边界。实际可用的声明字段和匹配规则取决于托管平台、CI 系统与注册平台，不能把某一平台的配置方式直接套用到另一平台。

工作流本身也属于身份边界。若外部贡献者可控制的任务、普通测试任务或任意分支都能申请发布权限，那么仓库绑定并不足以证明发布行为可信。应检查发布触发条件、目标分支、工作流文件的修改权限和审批安排，并确认修改发布流程的人不会同时无约束地批准并执行发布。

最可靠的验证方式是受控测试，而非只看设置页面。使用非生产包或平台支持的安全演练，分别检查未绑定的仓库和工作流能否取得凭据、非发布任务能否申请发布权限，以及成功发布后是否能关联工作流身份、代码提交、运行记录与目标包版本。还要确认失败过程不会泄露令牌，并验证撤销凭据后的影响范围。

最终判断标准是：每次授权都能解释“哪个仓库、哪个工作流、因何种条件获得发布权限”，审计记录也能复原这条路径。若身份声明无法与发布记录对应，或绑定范围无法清楚说明，OIDC 只替换了凭据获取方式，并未建立可验证的发布信任。