实现指南：使用 SHA-256 为工具签名

分步指南：Kernel（内核）如何使用 SHA-256 为工具签名，并在 AST engine（抽象语法树引擎）执行修复后更新签名。

签名何时创建？

在工具生成并成功通过验证之后。验证失败的工具不会被签名为可信工具。

如果代码发生变化会怎样？

签名会改变。签名改变意味着代码必须重新验证，才能被信任。

签名可以替代验证吗？

不可以。签名检测变更；验证确认结果。它们是同一安全模型中相互独立的层。

谁来更新签名？

AST engine 在对代码应用修复之后更新签名。随后 Kernel 回到 Stable State（稳定状态）。

签名的范围是什么？

每个工具都会被签名。签名相当于工具代码的防篡改封条。