供应链安全 / EDITOR’S NOTE

npm provenance 能证明什么，不能证明什么？

可验证的来源链接有帮助，但不能代替代码审查。

PlainKit 项目维护者2026-10-17资料解读 · 非实时新闻

资料要点

npm 的 provenance 将包与源代码、构建说明建立可验证的关联。官方文档也明确，这不能保证包没有恶意代码。

升级依赖时，记录包名、精确版本、来源仓库和变更说明。下载产物可先做 SHA-256 比较；源码和运行行为仍需独立检查。下面的发布检查清单可以作为自己的记录起点。

资料核对：2026-10-17。本文包含 PlainKit 自编示例与实践说明，不代表来源机构的背书；不是安全审计结论。

现在，自己验证一次。

用合成示例开始，输入仍在你的浏览器内处理。