Skip to content

v1.2.1｜Provenance 核验闭环加固

Choose a tag to compare

View all tags
@github-actions github-actions released this 17 Jul 15:28
· 22 commits to main since this release
v1.2.1
45fe743

v1.2.1｜Provenance 核验闭环加固

发布范围

这是 v1.2.0 的发布治理补丁。技能内容、安装器参数、原生目标和桥接格式不变；v1.2.0 保留为直接回滚版本。

修复内容

  • Release 制品验证器现在会校验 provenance.json 的 metadata_sha256、artifact.file_count 与 commit 格式；
  • --verify --expected-commit <SHA> 可将 provenance commit 绑定到指定的 annotated tag 解引用提交；
  • tag 发布工作流将该预期 commit 传给构建器，因此 ZIP、checksum、provenance、元数据和 tag 提交在上传前必须同时一致；
  • 新回归测试覆盖“攻击者重写 SHA256SUMS.txt 后再篡改 provenance commit、metadata hash 或 file count”的场景，不能再以自洽 checksum 掩盖声明字段篡改。

验证

PYTHONUTF8=1 python -m unittest \
  skills/production-delivery-orchestrator/tests/test_install_skill.py -v
PYTHONUTF8=1 python -m unittest release/tests/test_build_release.py -v
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify \
  --expected-commit "$(git rev-parse 'v1.2.1^{}')"
git diff --check

安装器共 20 项测试；Release 构建器共 5 项测试。该版本继续不调用真实模型或付费 API。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.2.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.2.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.2.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布核验（2026-07-17）

  • Annotated tag：v1.2.1 → 45fe7437cd84dc433a6b40e29fe2be0c110027d9。
  • 双平台门禁：29592137411 成功；Ubuntu 和 Windows 都完成构建器、20 项安装器、5 项 Release 构建器、eval/forward 与 whitespace 门禁。
  • Release workflow：29592221435 成功；annotated tag、元数据、--expected-commit、确定性制品、ZIP attestation 和中文 Release 均已核验。
  • GitHub Release：v1.2.1 为正式发布，附件为 ZIP、provenance.json 和 SHA256SUMS.txt。
  • ZIP SHA-256：ee53bef30bec90fdb34ea02d4c64757b33c2db4c6c77c63fe3050830c1c7d985；已下载三份附件，并以 --expected-commit 45fe7437cd84dc433a6b40e29fe2be0c110027d9 完成离线复验。

对下载的 ZIP 执行：

sha256sum --check SHA256SUMS.txt
gh attestation verify production-delivery-orchestrator-v1.2.1.zip \
  --repo lza6/Agent-skills-code-op

不要移动 v1.2.0 或更早的 tag；如需继续修复，创建后续版本和新的 attestation。

Assets 5
Loading