可重複構建101：

你拿源碼 - 編譯它 - 每次都得到完全相同的二進位檔 (位元對位完全相同)。如果輸出不同？那就有些狡猾的事情發生了 (後門、篡改、供應鏈攻擊)。這是加密技術對抗受損依賴或惡意更新的最佳防禦。

問題：
即使構建是可重複的，你如何證明整個鏈條是合法的？源碼、依賴、構建環境、日誌、最終產物……都需要在不信任 GitHub、npm 或任何第三方的情況下進行驗證。