可复现构建101：

你获取源代码——构建它——每次都得到完全相同的二进制文件(比特对比对（bit-for-bit identical）)。如果输出不同？说明发生了某些阴谋(后门、篡改、供应链攻击)。这是加密技术对抗受损依赖或恶意更新的最佳防御。

问题：
即使构建是可复现的，你如何证明整个链条是合法的？源代码、依赖、构建环境、日志、最终产物……所有这些都需要在不信任GitHub、npm或任何第三方的情况下进行验证。