LiteLLM发布v1.104.0-rc.2，说明Docker镜像cosign签名校验方式
该预发布版发布说明未列具体代码改动，只给出了用固定commit哈希或release标签验证ghcr.io镜像签名的两条cosign命令。
AI解读：LiteLLM发布了v1.104.0-rc.2预发布版本，但这次发布说明本身没有列出功能或修复改动，重点放在Docker镜像的签名验证上。
所有LiteLLM Docker镜像都用cosign签名，且每次发布沿用同一个密钥，该密钥由commit 0112e53引入。发布说明建议用固定commit哈希去取cosign.pub做校验，理由是commit哈希不可篡改；用人眼更好读的release标签也可以，但依赖仓库的标签保护规则。
对使用LiteLLM容器镜像的人来说，这是供应链层面的说明：运行cosign verify并比对预期输出，可以确认拉到的镜像来自官方密钥，而不是被替换过的副本。不过发布说明没有给出这一版具体改了哪些代码，要了解差异还需查看v1.104.0-rc.1到v1.104.0-rc.2的完整变更日志。
LiteLLM发布v1.104.0-rc.2。该版本的发布说明没有列出新增功能或bug修复，正文只说明如何验证LiteLLM Docker镜像的cosign签名。
镜像签名校验：固定commit哈希与release标签两种方式
发布说明称，所有LiteLLM Docker镜像都用cosign签名，每次发布沿用同一个密钥，该密钥在commit 0112e53中引入。
推荐方式是用固定commit哈希引用cosign.pub，因为commit哈希在密码学上不可变，可以确保使用的是原始签名密钥。命令为：cosign verify --key https://raw.githubusercontent.com/BerriAI/litellm/0112e53046018d726492c814b3644b7d376029d0/cosign.pub ghcr.io/berriai/litellm:v1.104.0-rc.2。
另一种方式用release标签引用同一份cosign.pub，命令为：cosign verify --key https://raw.githubusercontent.com/BerriAI/litellm/v1.104.0-rc.2/cosign.pub ghcr.io/berriai/litellm:v1.104.0-rc.2。发布说明称标签在该仓库受保护，会解析到同一个密钥；这种方式更易读，但依赖标签保护规则。
- 签名工具：cosign。
- 所有LiteLLM Docker镜像均已签名，发布共用同一密钥，密钥由commit 0112e53引入。
- 推荐用commit哈希 0112e53046018d726492c814b3644b7d376029d0获取cosign.pub，理由是哈希不可变。
- 备选方式用release标签v1.104.0-rc.2获取同一密钥，依赖仓库的标签保护规则。
- 镜像地址：ghcr.io/berriai/litellm:v1.104.0-rc.2。
预期校验输出与变更日志
发布说明给出的预期输出为：在每条签名上执行了以下检查——cosign声明已验证；签名已通过指定公钥验证。
该版本的完整变更日志指向GitHub上从v1.104.0-rc.1到v1.104.0-rc.2的compare页面，发布说明本身未在正文中列出具体代码改动。