制品元数据整理

适用场景

在二进制、容器镜像、包或发布附件进入验收前，统一制品摘要、来源和构建引用。

输入与输出

输入为脱敏 JSON，包含 artifactref、subjectdigest、sourcereporef、sourcerevision、builderref、workflowref、releaseref 和 sbomref。输出 READY/REVIEW、缺失项和 metadatahash。

安装与执行

无需第三方依赖。执行 python scripts/normalize.py examples/input.json，脚本只读本地脱敏摘要。

错误恢复

缺制品摘要、来源修订、builder、workflow 或发布引用时输出 REVIEW；摘要算法不支持时输出 BLOCKED。

权限与隐私边界

不下载制品、不访问仓库、不验证签名、不读取 token、不声明供应链安全等级。

验收方法

完整样例输出 READY 和非空 metadata_hash；删除 subject_digest 输出 REVIEW；使用 MD5 输出 BLOCKED。