workinf_Blender_Wasm/docs/tasks/M13-05E.md

M13-05E：供应链发布绑定

• task: M13-05E
• parent: M13-05D
• status: done

目标

将 SPDX 2.3 SBOM、第三方 notices、package/lockfile、source offer、binary/source archive、 SHA256SUMS.txt 和当前 commit 绑定到机器可验证报告。对应源码归档必须包含构建输入且与发布包 独立校验。

验收

npm --prefix web run test:supply-chain-binding
npm --prefix web run test:binary-archive
npm --prefix web run test:source-archive

产物和交接

报告和 manifest 位于 tests/golden/M13-05E/；下一任务由 manifest 的 nextTask 指向 M13-05F。

回滚

移除供应链 checker、报告、manifest、package 命令和状态页；将 M13-05D 恢复为队列尾。