GitHub Actions などで使う CLI バイナリは、SHA256 チェックサムと attestation の両方で検証すると良いのかも
[2026-02-23-1] で紹介した masutaka/actions では、jactionlint などの CLI バイナリを、各ツールの GitHub Releases からダウンロードして使っています。 ダウンロードしたバイナリは、SHA256 チェックサムと gh attestation verify の両方で検証しています。今回は、その方法と理由を書いていきます。 ...