离线文件下载在获取后不验证 SHA-256 校验和

kubescape download artifacts 会为空气隔离环境下获取框架和规则文件,但不会对下载的内容进行完整性验证。如果下载内容有损坏、网络被截获或镜像被泄露,则扫描结果将出现错误,且无法表明有任何问题。对于一个正在孵化的 CNCF 项目,该项目是供应链安全工具的一部分,此处存在一个有意义的漏洞。kubectl、helm 和 cosign 等工具都会在发布资产的同时发布校验和,并在安装时对其进行验证。