QA: reproducible builds, independent audit and 1.0 release gate

Open
  • Is something wrong?
#154 1 comment 0 reactions 0 assignees View on GitHub

Maintainers usually reply within 1 day

Nobody has claimed this yet.

Assessment

Difficulty
5/5
Estimated time
Over a week
Newbie friendliness
12/100
Issue type
Feature
Clarity
Needs clarification
Activity status
Active
Tech stack
rust
Domain
ci-cd, security, testing-qa

Research direction

This is a release-gate epic, not a code change. It requires a documented plan and threat model/ADR approved before implementation, and it depends on QA-3, #7 and #8, which the payload does not show as finished. The payload names no files, tests or entry points. A newcomer's first step is to ask the maintainers for the ADR scope and which dependency step comes first. Done means the checklist items are met for a single self-contained step.

Written by the indexing model from the issue text.

Description

area:release priority:P3 type:security

Ziel / Abgrenzung

Bit-identische Buildprüfung soweit möglich, SBOM-/Attestation-Verifikation, unabhängiges Review-Scope, Findings-Triage und explizite v1.0-Blocker.

Abhängigkeiten

QA-3, #7, #8. Bestehende Sicherheits- und CI-Arbeiten erweitern, nicht duplizieren. Vorherige QA-Stufe abschließen oder Unabhängigkeit begründen.

Sicherheitsanforderungen

  • Keine produktiven Test-Hooks; keine Secrets in Logs oder Testartefakten.
  • Keine neuen Remote-Schnittstellen oder stillen Sicherheits-Fallbacks.
  • Keine Änderung bestehender Schlüssel- und .pqkf-v1-Formate.

Tests und Definition of Done

  • Plan und Threat Model/ADR vor Implementierung dokumentiert und freigegeben
  • Positiv-, Negativ-, Grenzwert-, Crash- und Manipulationstests für diesen Schritt
  • Regression von CLI/API, bestehenden Schlüsseln und Archiven nachgewiesen
  • CI fmt, clippy, Tests und Security-Checks grün; Windows/Linux soweit relevant
  • DE/EN-Dokumentation, Sicherheitsgrenzen und Review dokumentiert
  • Eigenständiger PR ohne Abhängigkeit von unfertigen Folgeschritten

Rückwärtskompatibilität und Rollback

Opt-in bzw. ausschließlich Test-/CI-Konfiguration. Produktive Codepfade unverändert; PR-Revert stellt vorherigen Zustand wieder her. Kein automatischer Datenumbau, kein Löschen von Schlüsseln oder Archiven. Rollback-Test dokumentieren.

Dominant language
Rust
Stars
0
Forks
0
Avg merge
1h 22m
Merged PRs (30d)
72

Getting set up

First steps

  1. Read the whole issue, then the project's contributing guide.
  2. Comment on the issue to say you are picking it up — it saves two people doing the same work.
  3. Fork the repository and make your change on a branch.
  4. Open a pull request that references the issue number.

More from SpecterAoD/pqkeep

All issues in SpecterAoD/pqkeep

Similar issues

More Rust issues

Get new issues in your inbox

A short digest of beginner-friendly GitHub issues.