“只接收可信发布者的版本”是一门面向已掌握基本终端和文件操作的学习者的 DevSecOps 实战项目课。你将为 Waymark 步行节导览制作接收脚本：接受所请求且由可信发布者签名的更新，发布实际验证过的字节，并保持原有访客功能可用。
两项 Guided Lab 逐步介绍信任判断和接收脚本。独立 Challenge 将同样的工具应用于无障碍导览，其中一个真实有效的签名仍可能属于错误的产品。
你将学到什么
完成本课程后，你将能够：
- 区分随文件交付的校验和与通过独立可信渠道提供的批准依据；
- 使用预先信任的发布者公钥验证真实的 Cosign 签名；
- 分别判断所请求的产品、版本和归档摘要；
- 编写简短的 Bash 接收脚本，在失败时停止，并将验证过的归档副本交给准备好的发布程序；
- 拒绝不合规交付，同时保留旧版本、访客页面和真实的路线下载。
本课程适合谁
本课程适合希望完成一项小而完整的软件交付工作的 DevSecOps 初学者、开发者和运维人员。
前置要求： 会在终端中切换目录，熟悉小型文本文件。课程会在使用前解释签名、摘要和所需 Shell 语法；不要求 Python 编程基础。
学习环境： 已准备好的 Linux 环境，包含 Cosign、供应方交付包、独立提供的可信公钥与请求，以及运行中的 Waymark 网站。使用 Workspace 输入命令，使用 Event Guide 操作真实页面和下载。
常见问题
需要云账号或自己的签名密钥吗？
不需要。实验提供合成的签名交付包和独立预置信任的公钥，不向学习者提供发布者的私钥。
这是完整的公共 Sigstore 身份验证流程吗？
不是。本项目使用离线、自主管理的密钥签名，并明确跳过公共透明日志验证。它不验证公共 OIDC 身份，也不声明达到某个 SLSA 等级。
完成后能得到什么？
可复用的接收脚本，以及路线表字节与已批准更新相符的可用导览网站。Challenge 要求独立组合已经学过的判断，不引入新的签名机制。
