# M13-05E：供应链发布绑定

- `task`: `M13-05E`
- `parent`: `M13-05D`
- `status`: `done`

## 目标

将 SPDX 2.3 SBOM、第三方 notices、package/lockfile、source offer、binary/source archive、
`SHA256SUMS.txt` 和当前 commit 绑定到机器可验证报告。对应源码归档必须包含构建输入且与发布包
独立校验。

## 验收

```text
npm --prefix web run test:supply-chain-binding
npm --prefix web run test:binary-archive
npm --prefix web run test:source-archive
```

## 产物和交接

报告和 manifest 位于 `tests/golden/M13-05E/`；下一任务由 manifest 的 `nextTask` 指向 `M13-05F`。

## 回滚

移除供应链 checker、报告、manifest、package 命令和状态页；将 `M13-05D` 恢复为队列尾。