在Linux上，使用codesign工具对软件包进行签名以确保其完整性和来源可信是一种常见做法。为了确保签名不可篡改，你可以采取以下措施：
- 使用强密钥：确保你使用的私钥足够强大和安全。不要使用弱密钥或容易猜测的密钥。
- 更新密钥：定期更新你的签名密钥，以防止密钥泄露或被恶意使用。
- 验证签名：在安装或验证软件包时，使用codesign工具检查签名是否有效且未被篡改。你可以使用
codesign -dvvv <path-to-signed-package>命令来验证签名。
- 完整性检查：codesign工具在签名时会生成一个摘要（通常是SHA-256哈希值），并将该摘要嵌入到签名中。在验证签名时，codesign工具会重新计算软件包的摘要，并与签名中的摘要进行比较。如果两者不匹配，则说明软件包已被篡改。
- 权限控制：确保只有授权的用户才能访问和使用签名密钥。将私钥存储在安全的位置，并限制对其的访问权限。
- 使用证书链：如果你使用的是证书链进行签名，确保整个证书链都是有效的，并且根证书已被可信的证书颁发机构信任。
- 审计日志：保留签名和验证操作的审计日志，以便在出现问题时进行调查和分析。
通过采取这些措施，你可以大大提高Linux上软件包签名的安全性，并降低被篡改的风险。