如何对Node.js应用代码本地签名与服务端校验？是否有现成方案？

下面是几种符合需求的成熟方案，无需完全从零搭建：

1. Sigstore Cosign #

专注于软件供应链安全的签名工具，支持文件、容器镜像的签名与校验，非常适配你的Docker场景：

• 本地签名流程：
  1. 生成项目文件的哈希清单：sha256sum ./src/**/* ./package.json > hashlist.txt（根据项目结构调整路径）
  2. 用Cosign生成密钥对：cosign generate-key-pair
  3. 对哈希清单签名：cosign sign-blob --key cosign.key hashlist.txt，会生成hashlist.txt.sig签名文件
• 容器校验流程：
  1. 自定义Docker镜像中安装Cosign（可通过官方二进制包或包管理器）
  2. 启动脚本中加入校验逻辑：

     # 校验签名文件
     cosign verify-blob --key cosign.pub --signature hashlist.txt.sig hashlist.txt
     if [ $? -ne 0 ]; then
       echo "签名校验失败，终止启动"
       exit 1
     fi
     # 校验文件哈希与清单一致
     sha256sum -c hashlist.txt
     if [ $? -ne 0 ]; then
       echo "文件哈希不匹配，终止启动"
       exit 1
     fi
     # 校验通过后启动Node.js应用
     node app.js
     

2. Docker Content Trust（DCT） #

Docker官方的镜像签名机制，可结合自定义哈希校验实现双重保障：

• 本地操作：
  1. 开启Docker Content Trust：export DOCKER_CONTENT_TRUST=1
  2. 构建并签名镜像：docker build -t your-node-app . && docker trust sign your-node-app
  3. 生成项目文件哈希清单并签名（可用GPG或Cosign），将清单和签名文件打包进镜像
• 容器校验：
  1. 拉取镜像时Docker会自动校验镜像签名
  2. 容器启动脚本先校验哈希清单的签名，再对比所有文件的哈希值，通过后启动应用

3. GPG签名+自定义哈希校验 #

如果偏好轻量方案，用GPG做签名校验即可：

• 本地签名：
  1. 生成哈希清单：find . -type f -name "*.js" -o -name "*.json" | xargs sha256sum > hashlist.txt
  2. 用GPG签名清单：gpg --sign hashlist.txt（会生成hashlist.txt.gpg）
• 容器校验：
  1. 镜像中安装GPG，导入你的公钥
  2. 启动脚本执行：

     # 验证签名
     gpg --verify hashlist.txt.gpg hashlist.txt
     if [ $? -ne 0 ]; then exit 1; fi
     # 校验文件哈希
     sha256sum -c hashlist.txt
     if [ $? -ne 0 ]; then exit 1; fi
     # 启动应用
     node app.js
     

内容的提问来源于stack exchange，提问作者Anton Banchev