AskaEth
918d826645
四条 P1 + 四条 P2 一并处置（不变的是判据，变的是「谁在承重」）。
P1-1 `.github/workflows/release-build.yml` 的 sed 替换串是裸 0x01（本意 `\1`）：GitHub 解析该文件会
失败 ⇒ 整个 run 起不来；即便容忍，版本号也会被求值成单字节，PE 判据报「与 Cargo.toml 不同源？」把
排障引向错方向。修成字面 `\1`，并新增 `packaging/check_workflows_yaml.py`（真 YAML 解析器 parse
全部 workflow + 裸 C0 控制字符字节判据；带 --self-test 注入 0x01/坏结构断言必红），接进
`release-guard.yml` 两步。文本扫描型守卫看不见这类字节，这道门禁专门挡它。
P1-2 `release-publish.yml` 没在 `on.workflow_call.secrets` 里声明 `ULL_MANIFEST_SIGNING_KEY`，调用方
却传了：可复用工作流只拿得到自己声明过的 secret ⇒ 用户配好钥也会在签名步红，而错误文案反过来指控
Secret 没配。补声明（required: false，fail-closed 由步内 ::error:: + exit 1 承担，同
ULL_MSA_CLIENT_ID 的模式）。
P1-3 两个测试支撑文件越过 400 行守卫：签名夹具拆到 `tests/support_sign.rs`（support.rs 458→392），
CLI e2e 的签名部分拆到 `support/update_e2e_sign.rs`（update_e2e.rs 406→348）。纯搬家。
P2-2 「唯一收口点」改成结构事实：从 `UpdateSource` 删掉 `fetch_manifest` 默认实现，调用方只能拿
`verified_manifest(&source, channel)`（源只交原文，想绕过验签就得自己重写解析与渠道判据）。
P2-3 文档写的第 ④ 条命令补进流水线：`sign_manifest.py --verify-pinned` 用 trust.rs 里钉住的公钥
回验刚落盘的 .sig（不碰私钥），发布侧因此验证的是「客户端的判据」而不是「签名脚本的自我声明」。
P2-4 随自写实现一起删除（`Fe` 的错误 PartialEq 不再存在）。
P2-5 app-iced/build.rs 注释里那个 windows_subsystem 属性本分支不存在（M196 才有），改为说明
「本文件只写版本资源，子系统由 rustc 属性决定，check_pe_version.py 会把 subsystem 打出来」。
P2-6 坏清单不再带 error.path 是有意降级（来源 id 在 message 里），保持。
裁定项：自写 Ed25519 换成 `ed25519-dalek::verify_strict`（信任锚不许自写密码学；此刻信任表还是空表，
零兼容负担）。删除 `update/ed25519/{field,group,mod}.rs`（含只服务它们的单测），新 `update/ed25519.rs`
只剩一个薄封装；拒绝类用例（可锻 S+L / 小阶公钥 / 非规范 R / 空签名 / 未知 key）**一条没删**，
改成钉 dalek 的 strict 语义——实测 dalek 对全部五类的结论与旧实现一致（非规范 R 的拒绝理由不同：
dalek 走「小阶点」而非「编码非规范」，用例注释里写明）。签名侧留在 `packaging/ed25519_ref.py`
（纯 Python、零 pip 依赖），`--self-test` 用 RFC 8032 同一组向量钉两边。
105 lines
5.3 KiB
Rust
105 lines
5.3 KiB
Rust
//! 自更新内核：版本比较、发布清单、渠道准入、下载校验、原子替换。
|
||
//!
|
||
//! 更新源已定（D50）：**GitHub Releases 是唯一更新源**，真实实现在
|
||
//! [`GitHubReleaseSource`]（清单固定地址 + 产物走 `core::download` 引擎）。
|
||
//! 这一层仍然保持源无关：核心只认 [`UpdateSource`] 三个方法，接哪家由上层注入
|
||
//! （本地目录源 [`DirSource`] 留作对拍基准、内网手工分发与**测试通道**）。
|
||
//!
|
||
//! 测试通道不是第二个更新源：`update-test-source` feature（默认关）+ `ULL_UPDATE_DIR` +
|
||
//! `ULL_UPDATE_TEST_SOURCE=1` 三档全给才会把 [`default_source`] 换成本地目录（判据、隔离手段与
|
||
//! 为什么用编译期 feature 见 `job::test_source_root` 的文档）。
|
||
//!
|
||
//! 设计输入：`DevDocs/analyse/07-settings-packaging-update-p2.md` §4（HMCL 自更新）与 §6.2
|
||
//! （多平台清单扩展）。我们抄骨架、补两处 HMCL 明确放弃的东西：**回滚**与**按平台分发**。
|
||
//!
|
||
//! # 一条完整的更新链
|
||
//!
|
||
//! ```text
|
||
//! UpdateChecker::check(current, channel) 清单 + 版本 + 渠道 + 目标平台 → 结论
|
||
//! │ Available(candidate)
|
||
//! ├─ UpdateChecker::prepare(candidate, staging) 取包 → 长度/摘要双检
|
||
//! │ │ StagedPackage（校验通过，失败已自动清理）
|
||
//! │ └─ install::install_staged(...) 改名旧版 → 搬入新版（失败回滚）
|
||
//! └─ UpToDate / MissingArtifact
|
||
//! ```
|
||
//!
|
||
//! # 分层
|
||
//!
|
||
//! ```text
|
||
//! version 语义化版本解析与排序（alpha/beta/rc、build metadata） channel 渠道阶梯与准入
|
||
//! manifest 清单模型 + JSON 校验 target 目标平台与包形态
|
||
//! source UpdateSource trait + 本地目录源 github GitHub Releases 源（D50）
|
||
//! verify 暂存 + 长度/摘要校验 checker 选择哪一份发布、急不急
|
||
//! signature 清单签名信封 + 验签 trust 钉进二进制的公钥表（keyring）
|
||
//! ed25519 Ed25519 严格验签（ed25519-dalek::verify_strict 的薄封装）
|
||
//! install 原子替换 + 回滚 replace_io 改名/复制/重试与跨卷判据（注入点）
|
||
//! error 分类与文案 job 检查/应用的一条龙（GUI 与 CLI 共用同一入口）
|
||
//! ```
|
||
//!
|
||
//! # 跨卷（M171）
|
||
//!
|
||
//! 暂存目录在数据根下、目标 exe 在安装目录，两者可能不在同一卷（便携版放 U 盘、数据根在 D 盘而
|
||
//! 程序在 C 盘）。`rename` 不能跨卷，所以 [`install_staged`] 先把新包落成**目标同目录**的
|
||
//! `.ullnew-*` 中转名（同卷改名；跨卷才复制到这儿并核对字节数），再由一次同卷改名顶到目标位置。
|
||
//! 目标路径上任何时刻都不是半截文件，同一卷路径也**不会多搬一个字节**。
|
||
//!
|
||
//! # 刻意不做的事
|
||
//!
|
||
//! * **不碰 UI**：本模块只产出可序列化的判定结果与错误分类，弹窗/进度/文案排版在壳层。
|
||
//! 入口在 `crates/presenter`/`crates/app-iced` 接，`crates/core` 保持零 UI 依赖。
|
||
//! * **不自己替换正在运行的 exe**：那需要「退出自身 → 另一个进程搬运」（HMCL 的
|
||
//! `--apply-to`），属启动器外壳的编排；本模块只保证搬运本身原子且可回滚。
|
||
//! * **不装安装器形态**（msi/dmg/deb/rpm）：交给系统包管理器。
|
||
//! * **不做差分/增量**：清单里没有 patch 字段，宁可每次全量，也别先上一套没验过的差分协议。
|
||
//!
|
||
//! # 信任根（M190）
|
||
//!
|
||
//! ```text
|
||
//! 源只取字节 ──> signature::verify_manifest（清单**原始字节** + `manifest.json.sig`）
|
||
//! │ 判据：钉死的公钥（trust::keyring，编译期常量）验 Ed25519
|
||
//! ├─ 过了 ──> manifest::from_json ──> checker/apply
|
||
//! └─ 不过 ──> 五类签名错误（不可重试），**什么都不会被安装**
|
||
//! ```
|
||
//!
|
||
//! 一句话：**先验签、再解析**。清单的 sha256 只保证「包体和清单对上」，清单本身可不可信由签名回答——
|
||
//! 两条判据互不替代（`tests/signature_cases.rs` 分别证明）。
|
||
|
||
pub mod channel;
|
||
pub mod checker;
|
||
mod ed25519;
|
||
pub mod error;
|
||
pub mod github;
|
||
pub mod install;
|
||
pub mod job;
|
||
pub mod manifest;
|
||
mod replace_io;
|
||
mod signature;
|
||
pub mod source;
|
||
pub mod target;
|
||
mod trust;
|
||
pub mod verify;
|
||
pub mod version;
|
||
|
||
pub use crate::download::{HashAlgo, Integrity};
|
||
pub use crate::platform::os_info::OsFamily;
|
||
|
||
pub use self::channel::Channel;
|
||
pub use self::checker::{CheckOutcome, UpdateCandidate, UpdateChecker, Urgency};
|
||
pub use self::error::{UpdateError, UpdateErrorKind};
|
||
pub use self::github::GitHubReleaseSource;
|
||
pub use self::install::{
|
||
backup_path, install_staged, InstallFailure, InstallReceipt, ReplacePolicy,
|
||
};
|
||
pub use self::job::{
|
||
default_source, process_dest, staging_dir, Applied, Job, UPDATE_DIR_ENV, UPDATE_TEST_SOURCE_ENV,
|
||
};
|
||
pub use self::manifest::{Artifact, Release, ReleaseManifest};
|
||
pub use self::signature::VerifiedSignature;
|
||
pub use self::source::{verified_manifest, DirSource, ManifestDocuments, UpdateSource};
|
||
pub use self::target::{Arch, PackageFormat, Target};
|
||
pub use self::verify::{stage, verify_file, StagedPackage};
|
||
pub use self::version::{Stage, Version, VersionError};
|
||
|
||
#[cfg(test)]
|
||
mod tests;
|