Provide versioned, checksummed release binaries
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 48/100
調査の方向性
まず autify-cli/install-standalone.sh を読み、プラットフォームごとの $OS-$ARCH.tar.xz アーカイブを生成する既存の release パスを追跡します。現在、バージョンとアーティファクトがどのように公開されているかを確認し、完了条件を、バージョン付きの安定した URL、SHA256 チェックサムファイル、および固定したダウンロードを検証するためのインストーラーのサポートと定義します。GitHub Release の添付ファイルは追加の選択肢として記載します。
索引モデルが issue の本文から書いたものです。
説明
install-standalone.sh has the following issues from the perspectives of dependency pinning and supply chain security.
From install-standalone.sh:
URL=https://$AUTIFY_S3_BUCKET.s3.amazonaws.com/$AUTIFY_S3_PREFIX-$OS-$ARCH.$TAR_EXT
curl "$URL" | tar "$TAR_ARGS"
- The URL does not include a version, so the same CI configuration can install a different binary depending on when it runs. It cannot be pinned via a lockfile.
- There is no checksum or signature verification. The script pipes
curldirectly intotar, so tampering with the distribution source cannot be detected. - The
curl | sudo bashpattern leaves no path for users to inspect the content locally before executing it. If the distributed bash uploader were tampered with — as in the Codecov incident (2021), where CI environment variables were leaked — users would have no way to defend themselves.
Proposal
Per-platform binaries are already produced as $OS-$ARCH.tar.xz, so it would be a significant improvement to additionally publish:
- Stable URLs that include the version (e.g.
…/v0.73.1/autify-darwin-arm64.tar.xz) - SHA256 checksum files
- Ideally, binaries attached to GitHub Releases
This would enable version pinning via mise/asdf, user-side tamper verification, and installation in rootless environments (Dev Containers, CI containers, etc.).
- 主要言語
- TypeScript
- スター
- 43
- フォーク
- 5
- 平均マージ
- 1日 18分
- マージ済み PR（30日）
- 3
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドなし
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
autifyhq/autify-cli のほかの issue
-
Dependency Dashboardオープン
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
autifyhq/autify-cli#738 ·
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
autifyhq/autify-cli#377 · コメント 1 件 ·
-
Dependency Dashboardオープン
難易度 4/5 3〜5日 初心者へのやさしさ 10/100
autifyhq/autify-cli#326 ·
-
難易度 3/5 1〜2日 初心者へのやさしさ 35/100
autifyhq/autify-cli#231 ·
-
難易度 3/5 1〜2日 初心者へのやさしさ 35/100
autifyhq/autify-cli#128 · コメント 2 件 ·
autifyhq/autify-cli の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
Slaymish/HealthAgent#7 ·
-
area: engine topic: math type: bug
難易度 2/5 1〜3時間 初心者へのやさしさ 80/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
Get-Concord-AI/concord-mcp#310 ·
メンテナーはふだん 1 日以内に返信
-
Correct install_claude: 'marketplace add' over a different source is refused, not replaced in placeオープンtype:bug
難易度 2/5 1〜3時間 初心者へのやさしさ 80/100
nightgauge/nightgauge#2804 ·
メンテナーはふだん 1 日以内に返信