五项身份签名系统的实证研究显示问题从密钥管理转向策略与验证复杂性

这篇基于 GitHub 3,900 个议题的纵向研究指出，Sigstore、OpenPubKey、HashiCorp Vault、Keyfactor 和 Notary v2 等五个身份签名生态系统并未解决可用性难题，而是将复杂度从长期密钥管理转移到了策略配置、验证工作流及跨组件协调上。

分析覆盖了 2021 年 11 月至 2025 年 11 月的数据，发现 CLI 工具、策略配置和验证工作流是用户报告问题的集中区域。趋势分析显示不同仓库的问题数量变化各异：部分显著下降，OpenPubKey 呈上升趋势，而 Keyfactor 则无统计显著的总体趋势。这表明虽然减少了直接管理密钥的负担，但引入了新的操作复杂性和集成挑战。

事实层面确认了当前工具在策略验证和可观测性方面的短板；推断表明若忽视这些新出现的痛点，可能导致部署时的误配置或采用率降低；猜测在于未来设计需将验证语义和部署集成视为一等公民目标，而非仅关注密钥生成环节。