Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

feat: verify archive integrity before extraction (SHA-256 checksum support)

Abierto
#2 0 comentarios 0 reacciones 1 asignado Ver en GitHub

@bzp2010 ya está trabajando en esto.

Desde el 6/5/2026.

Evaluación

Este issue todavía no se ha evaluado.

Descripción

Summary

Currently, src/main.ts downloads a release tarball via tc.downloadTool() and immediately extracts it via tc.extractTar() without verifying the archive's integrity. This weakens supply-chain security for every workflow using this action.

Background

To properly implement checksum verification in the setup-adc action, the upstream ADC release workflow must first be enhanced to:

  1. Publish SHA-256 digest files alongside each release asset (e.g., adc_linux_amd64.tar.gz.sha256).
  2. Enable immutable releases so that release assets cannot be silently replaced after publication.

Once the upstream project provides these artifacts, the action can be updated to:

  • Fetch the expected checksum from the release metadata or a .sha256 sidecar file.
  • Compute the SHA-256 digest of the downloaded archive.
  • Compare the computed digest to the expected value and abort extraction if they do not match.

References

/cc @bzp2010

Lenguaje dominante
TypeScript
Estrellas
0
Forks
0
Sin PR fusionados en 30 d

Guía de contribución

No hay ninguna guía de contribución indexada para este repositorio

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.