该论文系统性研究了可信执行环境（TEE）构建过程的可复现性（reproducibility）问题，选题紧扣云上机密计算信任链的根基。研究背景是：TEE（如 Intel SGX、Intel TDX、AMD SEV）已成为现代云计算的关键基础设施，为代码与数据提供强机密性与完整性保障；而支撑这一信任模型的核心机制是远程证明（remote attestation）——外部验证方通过密码学度量值（measurement）来确认 TEE 内运行的代码是否可信。然而，远程证明的有效性有一个常被忽视的前提：验证方必须能够把收到的度量值一路追溯到原始源代码，而这一属性只能通过可复现构建来保证；若构建不可复现，度量值就无法与公开源码建立可信对应关系，远程证明在实践中的意义将被大幅削弱。 核心方法上，作者对 115 个真实世界 TEE 部署进行了技术分析，覆盖 Intel SGX、Intel TDX、AMD SEV 等主流方案，逐项核查是否同时提供了源代码与参考构建（reference build）这两个可复现性的必要条件，并尝试验证构建结果是否与度量值一致。为探究不可复现的根本原因，作者联系了 50 个 SGX 项目的维护者，并成功招募 12 位来自工业界与学术界的开发者进行访谈。 主要发现具有较强冲击力：91% 的被调查部署不可复现，其中 80% 连源代码和参考构建这两项基本前提都未能同时提供。访谈结果与量化结论相互印证——12 位受访者中仅 1 人表示可复现性在开发过程中属于优先事项。作者进一步区分了两类障碍：一类是技术上可较快解决的因素（例如构建产物中混入时间戳等非确定性内容），另一类是更棘手的生态级挑战，例如涉及多方利益相关者的项目中，单个开发者无法控制构建环境。基于此，作者主张 TEE 的可复现性需要超越个体开发者的整体性开发流程与更强的组织/生态承诺，而不应把 TEE 当作一个可以贴上就完事的“安全徽章”。 该工作适合云安全、机密计算、供应链安全、可信证明与软件工程（构建可复现性）方向的研究者与工程实践者阅读。