v0.6.1 release fails its own clean-tree attestation; blocks downstream pinned installs

Offen
  • Stimmt etwas nicht?
#12 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
35/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Aktiv
Tech-Stack
python, rust
Bereich
release

Rechercherichtung

Start with scripts/install-prebuilt.sh and scripts/verify_prebuilt_attestation.py, then inspect the v0.6.1 release attestation and the release checklist. Confirm that a clean-tree build passes verification, installer scripts are published at an immutable ref, and the checklist requires the attestation check before tagging; signing attestations is listed as a consideration.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Problem

The Amortyx-Stack onboarding installer verifies OpenCodifier release artifacts against the release JSON attestation before installing. v0.6.1 fails that verification: the attestation's own build metadata records a dirty working tree (30 dirty paths), so the verifier's clean-tree check rejects the release. The newest installable release is therefore v0.5.0.

Impact

  • Downstream users pinned to the recommended install get v0.5.0 and miss everything since.
  • The installer previously targeted a codex/prebuilt-release-installer-20261029 branch for the installer scripts rather than a release tag, which is fragile: that branch is not an immutable publication point.

Requested work

  1. Rebuild v0.6.x from a clean tree (or cut v0.6.2) so the attestation passes its own clean-tree check.
  2. Publish the installer scripts (scripts/install-prebuilt.sh, scripts/verify_prebuilt_attestation.py) at an immutable ref (tag or release asset) instead of only on a moving codex/* branch, so downstream pins don't dangle.
  3. Consider signing release attestations — the current JSON verifies bytes and records build metadata but is not a cryptographic signature.
  4. Document the release checklist item "attestation clean-tree check must pass before tagging" so this class of release doesn't recur.

Repro anchor

Amortyx-Stack user-guides/portable-free-ai-stack/scripts/install-opencodifier.sh (pinned SHA-256 wrapper) verified against v0.6.1 assets: attestation verifier reports the dirty-tree mismatch. Verified 2026-10-29.

Vorherrschende Sprache
Rust
Sterne
1
Forks
0
Ø Merge
13 Std. 10 Min.
Gemergte PRs (30 T.)
12

Entwicklungsumgebung

Dieses Projekt bietet weder Dev-Container noch Dockerfile noch Beitragsleitfaden – die Einrichtung liegt bei Ihnen. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus aliasfoxkde/OpenCodifier

Alle Issues in aliasfoxkde/OpenCodifier

Ähnliche Issues

Weitere Issues zu Rust

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.