github actions 可通过 cosign 实现容器镜像自动签名，推荐使用 github oidc + fulcio 无密钥方案：启用 id-token 权限、安装 cosign、调用 cosign sign --oidc-issuer 签名已推送镜像；需确保镜像已构建推送、使用明确 tag；支持 cosign verify 验证及 registry ui 查看签名。
GitHub Actions 可以通过集成 cosign 工具，在 CI 流程中对容器镜像自动签名，实现可验证、可追溯的镜像完整性保障。核心在于：构建镜像 → 推送至 registry → 使用密钥（推荐 OIDC + Fulcio）签名 → 上传签名到同一 registry。
使用 GitHub OIDC 和 Fulcio 实现无密钥签名
这是目前最安全、推荐的方式，无需管理私钥，由 Sigstore 的 Fulcio 服务动态颁发短期证书：
- 在 workflow 中启用 GitHub OIDC 身份认证（
permissions: id-token: write） - 用
sigstore/cosign-installer动作安装 cosign v2.0+ - 调用
cosign sign --oidc-issuer https://token.actions.githubusercontent.com对已推送的镜像签名 - 签名会自动上传到镜像 registry 的
signaturetag 或 OCI artifact（如registry/image:tag.sig）
签名前确保镜像已正确构建并推送
cosign 签名操作必须作用于 registry 中真实存在的镜像，不能签本地 image ID：
- 使用
docker/build-push-action或buildx build --push完成构建+推送 - 镜像 tag 需明确（避免只用
latest），例如ghcr.io/owner/repo:v1.2.3 - 签名命令中需完整指定 registry 地址、仓库名和 tag，如：
cosign sign ghcr.io/owner/repo:v1.2.3
验证签名是否生效
签名完成后，可通过 cosign verify 或 registry UI 检查：
- 本地运行
cosign verify ghcr.io/owner/repo:v1.2.3查看签名者、证书链和时间戳 - 访问 registry（如 GHCR）对应镜像页面，部分支持展示签名元数据（如 sigstore badge）
- 配合
notation或ctr images verify在运行时校验（需配置策略）
可选：自托管密钥签名（仅限测试或隔离环境）
若无法使用 OIDC（如离线环境），可生成并安全保管 cosign 密钥对：
- 提前用
cosign generate-key-pair创建cosign.key/cosign.pub - 将
cosign.key存为 GitHub Secrets（如COSIGN_PRIVATE_KEY） - workflow 中用
echo "${{ secrets.COSIGN_PRIVATE_KEY }}" > cosign.key写入文件 - 执行
cosign sign --key cosign.key ghcr.io/owner/repo:v1.2.3 - 注意：私钥泄露即签名体系失效，生产环境强烈建议用 OIDC
