LiteLLM发布v1.105.0-rc.2，Docker镜像沿用同一cosign签名密钥
该预发布版本包含两项维护性改动：刷新 1.105.0 分支的锁定依赖，并将pgbouncer升级至 1.26.0。发布说明重申所有LiteLLM Docker镜像使用cosign签名，密钥来自提交 0112e53。
LiteLLM发布v1.105.0-rc.2，这是 1.105.0 系列的一个预发布版本。与v1.105.0-rc.1相比，该版本包含两项维护性改动：刷新锁定依赖，以及升级pgbouncer。
本次版本的两项改动
发布说明列出的改动均属维护性质。第一项由 @yuneng-berri提交（PR #44803），内容是在rc/1.105.0分支上刷新锁定依赖。第二项由devin-ai-integration[bot] 提交（PR #45013），内容是把pgbouncer升级到 1.26.0。
完整变更对照链接指向v1.105.0-rc.1与v1.105.0-rc.2之间的比较页面。
- PR #44803：刷新rc/1.105.0分支的锁定依赖（@yuneng-berri）
- PR #45013：pgbouncer升级至 1.26.0（devin-ai-integration[bot]）
Docker镜像签名与验证方式
发布说明称，所有LiteLLM Docker镜像都用cosign签名，每个版本使用提交 0112e53引入的同一密钥。验证命令针对镜像ghcr.io/berriai/litellm:v1.105.0-rc.2。
发布说明提供两种取公钥的方式。推荐方式是用固定的提交哈希 0112e53046018d726492c814b3644b7d376029d0作为密钥来源，理由是提交哈希在密码学上不可变，能更可靠地确认使用的是原始签名密钥。另一种方式用release tag v1.105.0-rc.2作为密钥来源，发布说明称其更易读，但依赖仓库的tag保护规则；发布说明同时称tag在该仓库受保护，两种方式解析到同一个密钥。
- 发布说明称所有LiteLLM Docker镜像均以cosign签名
- 发布说明称每个版本都使用提交 0112e53引入的同一密钥
- 推荐用固定提交哈希取公钥，用release tag更易读但依赖tag保护规则
- 期望输出包含两项检查：cosign声明已验证、签名已用指定公钥验证通过