该论文针对去中心化构建的包生态系统中工件可验证性问题展开研究。作者指出，可复现构建虽然能增强对分布式软件工件的信任，但仅靠构建确定性并不足以实现工件验证——验证者还必须能够恢复生成该工件所需的源代码状态、构建环境、依赖项和构建指令。而去中心化构建生态系统因使用异构工具、维护者自定义工作流以及碎片化元数据，使得独立验证变得困难。论文提出了一种独立验证者模型，该模型仅依赖注册表可派生的元数据，并定义了一个带有分级等价级别的工件比较模型。作者将这些模型实现为一个工件验证管道，并用于测量四个流行的去中心化构建包生态系统中的工件可验证性。研究结果表明，除了构建确定性之外，可验证性还受到缺少源代码和构建元数据、隐式发布转换以及非常规构建实践的制约。来源证明和嵌入式版本控制系统的元数据能改善验证效果，但并未提供完整的重建规范。这些发现指出了具体的元数据缺口以及为使工件验证在包注册表规模上具有实用性所需的生态系统级变更。该研究适合软件供应链安全研究人员、包注册表维护者以及构建系统开发者阅读。