אני חושב שזה הגיוני מאוד. יש לנו SRI עבור Javascript, MS Authenticode עבור Windows.
היו הרבה התקפות שרשרת אספקה על, למשל, NPM ו-RubyGems.
הדבר היחיד שמדאיג אותי הוא שיהיה מחסום לאנשים לקבל את רכיב התוסף או הנושא שלהם “מאושר”, כמו איך Microsoft Smartscreen מונע ממשתמשים להריץ תוכנות פחות מוכרות ממפתחים בודדים.