@ruvector/[email protected] and ruvector-core-*@0.1.31 published without provenance (trust downgrade from 0.1.32 / 0.1.30)

Aperta
  • Qualcosa non va?
#1,250 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 2 giorni

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
35/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
github-actions
Ambito
devops, release

Direzione di ricerca

Start by reviewing the CI release workflow and the publish configuration for @ruvector/core and the five ruvector-core-* platform packages. Compare the provenance settings for versions 0.1.32/0.1.30 with 0.1.33/0.1.31, then verify a release carries npm provenance attestations for every package.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Summary
@ruvector/[email protected] (published 2026-10-11, current latest) has no npm provenance attestation, although 0.1.32 (2026-08-06) did. The same regression affects all five platform binaries it depends on: ruvector-core-{darwin-arm64,darwin-x64,linux-arm64-gnu,linux-x64-gnu,win32-x64-msvc}@0.1.31 have no attestation, while @0.1.30 did. Installers that enforce a "no trust downgrade" policy (pnpm trustPolicy=no-downgrade, mise/aube) refuse to install [email protected] and [email protected].

Environment

  • macOS 27.0.1 (26A434), Apple Silicon (arm64)
  • Command Line Tools 27.0.0, Apple clang 21.0.0, Python 3.10.11
  • Node.js v26.12.1 (process.versions.modules = 147), npm 12.2.0
  • mise 2026.8.2 (npm: backend → embedded aube installer)

Reproduction

mise install 'npm:[email protected]'
# aube install failed: trust downgrade for @ruvector/[email protected] (trustPolicy=no-downgrade):
#   earlier published version 0.1.32 had provenance attestation but this version has no trust evidence
npm view @ruvector/[email protected] dist.attestations   # present
npm view @ruvector/[email protected] dist.attestations   # empty

What we checked (no sign of tampering found)

  • Same publisher (ruvnet) for 0.1.28–0.1.33 and the platform packages.
  • 0.1.33 vs 0.1.32: same scripts (no install hooks), no dependencies, same 4 files and 11,684-byte unpacked size. The only change is the optional platform binaries moving from 0.1.30 to 0.1.31.
  • Downstream users currently have to add exact-version trust_policy_excludes for six packages.

Proposed fix
Publish from CI with provenance (npm trusted publishing / npm publish --provenance) for @ruvector/core and every ruvector-core-* platform package. Release e.g. @ruvector/[email protected] + ruvector-core-*@0.1.32 with attestations so consumers can drop the exclusions.

Lingua principale
Rust
Stelle
4.6k
Fork
621
Merge medio
2g 6h
PR unite (30g)
43

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di ruvnet/RuVector

Tutte le issue di ruvnet/RuVector

Issue simili

Altre issue su Rust

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.