核验需要回答哪些问题
没有区块链的溯源的资料来源如何核验，可以拆成三个问题：资料从哪里来，经过哪些处理，以及收到的内容是否与签署时一致。来源描述和数字签名分别提供不同证据，两者结合能够支持核查，但不能直接保证资料所述事实真实。
用来源关系说明资料的来历
W3C的PROV-O定义了表达和交换来源信息的模型，以实体、活动和主体等概念，描述资料的生成、使用、派生和责任归属。其作用是让不同系统能够理解资料之间的来源关系。参考来源：https://www.w3.org/TR/prov-o/
核验时，可以把待核查文件作为起点，沿着派生关系追查原始材料，再核对处理活动和相关主体。例如，一份汇总表应能说明使用了哪些原始记录、经过什么汇总过程、由谁负责。这是核查思路；是否存在这些记录，需要逐项确认。
来源关系本身也是需要核验的声明。系统写明某文件源于某报告，并不等于已经证明两者确有联系；仍须取得对应材料，检查引用内容及转换过程能否相互对应。
用数字签名核对身份与完整性
NIST的FIPS 186-5规定了数字签名算法。数字签名可用于发现数据的未经授权修改、认证签署者身份，并为向第三方证明签署行为提供证据。参考来源：https://csrc.nist.gov/pubs/fips/186-5/final
应用于溯源时，应明确签名覆盖的具体文件或记录，并确认验证所用公钥与声称的签署者之间具有可信关联。仅看到签名图片或签署者姓名，无法完成密码学意义上的验证。
如果资料经过重新整理或格式转换，应区分原文件与派生文件。原文件的有效签名不能自动证明转换结果正确，派生关系及处理过程仍需单独核查。
适用条件与常见问题
这种方法适用于能够取得来源记录、对应材料，以及必要签名验证信息的场景。实际核查可先确认资料版本和责任主体，再追查上游材料，随后核对签名覆盖范围与验证结果，最后记录尚未得到证实的环节。
签名有效是否意味着内容真实？签名主要支持判断签署身份和数据完整性；签署者仍可能提供错误内容。来源描述齐全是否意味着已经核验？齐全只说明可供检查的关系较完整，还需要证据支持。
找不到原始材料时，应将相关来源关系标为未核实。核验结论宜说明已经确认的文件、身份与处理环节，避免把局部验证成功扩大为整条溯源链或全部事实均已得到证实。