添加 sigstore 支持,以验证插件的签名。

如果 krew 可以集成 cosign 那就太好了。这样在安装插件时，krew 可以验证已发布的插件的签名和透明性日志。在最初的发布中，我们应该让插件选择是否要有签名，但从长远来看，强制使用这些签名是个好主意。