Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

feat: verify archive integrity before extraction (SHA-256 checksum support)

Aperta
#2 0 commenti 0 reazioni 1 assegnatario Vedi su GitHub

@bzp2010 ci sta già lavorando.

Dal 6/5/2026.

Valutazione

Questa issue non è ancora stata valutata.

Descrizione

Summary

Currently, src/main.ts downloads a release tarball via tc.downloadTool() and immediately extracts it via tc.extractTar() without verifying the archive's integrity. This weakens supply-chain security for every workflow using this action.

Background

To properly implement checksum verification in the setup-adc action, the upstream ADC release workflow must first be enhanced to:

  1. Publish SHA-256 digest files alongside each release asset (e.g., adc_linux_amd64.tar.gz.sha256).
  2. Enable immutable releases so that release assets cannot be silently replaced after publication.

Once the upstream project provides these artifacts, the action can be updated to:

  • Fetch the expected checksum from the release metadata or a .sha256 sidecar file.
  • Compute the SHA-256 digest of the downloaded archive.
  • Compare the computed digest to the expected value and abort extraction if they do not match.

References

/cc @bzp2010

Lingua principale
TypeScript
Stelle
0
Fork
0
Nessuna PR unita negli ultimi 30g

Guida per i contributori

Nessuna guida per i contributori indicizzata per questo repository

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.