cosign sign 失败常见原因是镜像未本地拉取、tag 不匹配或 registry 配置错误；go 项目应直接调用 cosign/v2 api 而非 exec.command；签名需完整 bundle，验证需显式配置证书链与 rekor 地址。
cosign sign 命令签名失败：no such file or directory
常见原因是 cosign 找不到要签名的镜像，或本地没拉取过该镜像。Cosign 不支持直接对远程未拉取的镜像签名，它依赖本地镜像 manifest 数据（通过 docker images 或 podman images 可见）。
- 先确保镜像已拉取：
docker pull ghcr.io/example/app:v1.2.0 - 确认镜像名和 tag 完全一致（包括 registry 地址），
cosign sign不会自动补全或推断 registry - 若用 podman，需加
--docker-repo参数或设环境变量COSIGN_DOCKER_REPO=ghcr.io/example/app，否则默认走 docker.io - 错误提示里出现
no such file or directory时，大概率是镜像没拉、tag 写错、或用了镜像 digest 但本地没对应 layer 缓存
Go 程序里调用 cosign 签名：别直接 exec.Command("cosign")
虽然能跑通，但绕过了 Go 对签名流程的控制权，丢失错误上下文、无法注入临时密钥、难以做审计日志。官方 cosign CLI 底层用的是 github.com/sigstore/cosign/v2 包，Go 项目应直接 import 并复用其 API。
- 关键函数是
sign.SignCmd（v2.2+）或低版本的sign.Sign，它接受*sign.Options结构体，可精确控制 key path、payload、registry client 等 - 私钥不能硬编码，建议用
options.KeyRef = "kms://projects/xxx/locations/global/keyRings/xxx/cryptoKeys/xxx"或"awskms://alias/my-key"，避免落地明文 key 文件 - 注意
sign.Options.RegistryClient需传入自定义remote.Option（如设置 insecure registry、token refresh），否则默认只连 public registries - 签名后返回的
bundle是 JSON 字符串，含 signature、certificate、tlog entry，别只取 signature 字段就完事——供应链验证时缺 certificate 会失败
签名后 push 失败：401 unauthorized 或 403 forbidden
不是 cosign 问题，而是 registry 权限配置不匹配。Cosign 把签名作为独立 artifact（sha256-<digest>.sig</digest>）push 到同一仓库路径下，需要 registry 明确允许写入 *.sig 和 *.att 类型 artifact。
- GitHub Container Registry（GHCR）默认允许，但需 token 有
packages:writescope；若用 GitHub Actions，用${{ secrets.GITHUB_TOKEN }}即可 - 私有 Harbor 需开启
content-trust功能，并给 robot account 分配artifact:push+signature:push权限（v2.8+） - Google Artifact Registry 要在 IAM 中为 service account 添加
artifactregistry.repositories.uploadArtifacts角色 - 错误信息里若含
UNAUTHORIZED: authentication required，检查cosign login是否执行，或是否漏传--registry-auth-file
验证签名时 cosign verify 报 x509: certificate signed by unknown authority
说明 cosign 拿到的签名证书链无法锚定到可信根，常见于自建 Fulcio 或使用私有 CA 签发的 OIDC ID Token。Cosign 默认只信任 sigstore 的 fulcio.sigstore.dev 根证书，不自动加载系统 CA。
立即学习“go语言免费学习笔记（深入）”；
- 若用自建 Fulcio，启动 cosign 时加
--cert-identity-oidc-issuer https://your-oidc-provider.example.com和--cert-oidc-issuer-cert-file /path/to/ca.pem - Go 程序中调用
verify.Verify时，需手动构造verify.Options，设置RootCerts字段为自定义 *x509.CertPool - 别忽略
--rekor-url参数：即使不用 Rekor 日志，cosign verify 默认仍会尝试查 tlog entry，若网络不通或地址错误，会卡住或报错，可显式设为--rekor-url=""关闭 - 验证失败时，先用
cosign verify --output json看完整输出，重点关注certificates[0].subject和certificates[0].issuer是否符合预期
真正麻烦的从来不是签名动作本身，而是密钥生命周期管理、registry 权限收敛、以及验证端信任链的显式声明——这些地方一漏，整个签名就形同虚设。
