如何从Docker Hub下载Sigstore cosign生成的签名原始文件？

方法1：用Cosign自带命令直接获取 #

Cosign本身提供了下载签名的命令，无需依赖Docker拉取：

• 若知道原镜像的标签（比如tool:latest），直接执行：

  cosign download signature tool:latest > tool.sig
  

  该命令会将签名数据输出到标准输出，通过重定向可保存到本地文件。
• 若已明确签名对应的摘要标签，也可直接指定摘要拉取：

  cosign download signature tool@<digest_of_latest> > tool.sig
  

方法2：用OCI兼容工具crane拉取 #

crane是专门操作OCI镜像仓库的工具，可直接拉取签名这类非镜像对象：

1. 先安装crane工具
2. 执行拉取命令：

   crane pull <你的仓库地址>/tool:<digest_of_latest>.sig signature.sig
   

   执行后即可将原始签名文件下载到本地。

这两种方式都是直接与OCI仓库交互，不会将签名识别为Docker镜像，因此能正常获取到所需的原始数据文件。

内容的提问来源于stack exchange，提问作者Meir Tolpin