Skip to content

v1.6.0｜发布门、进程边界与制品验证加固

Choose a tag to compare

View all tags
@github-actions github-actions released this 18 Jul 05:25
· 6 commits to main since this release
v1.6.0
3471ada

v1.6.0｜发布门、进程边界与制品验证加固

发布范围

这是 production-delivery-orchestrator 的安全与交付可靠性小版本。v1.5.0 保留为直接回滚版本；本版本不移动任何历史 tag。

主要更新

  • Release workflow 将 Ubuntu/Windows quality matrix 放入同一 tag workflow，只有 quality 成功后 publish 才会构建、attest 和创建 GitHub Release；默认 token 收敛为只读，仅 publish 获得必要写权限。
  • whitespace 检查按 PR base/head、push before/head 和 tag fallback 比较真实差异；新增 Actions SHA、最小权限和已知凭据模式治理测试。
  • forward runner 对 Windows 使用 Job Object，对 Linux 使用 subreaper + process group；timeout、持管道 orphan、关闭管道 orphan、setsid child/grandchild 均 fail-closed 并清理。stdout/stderr 总采集限制为 256 KiB。
  • 三个评测 CLI 的 --report-prefix 只接受 portable filename；矩阵执行会在启动 Agent 前验证 profile suffix 后的完整文件名。
  • Release ZIP 验证限制成员数、单成员/总未压缩大小和压缩比，以 128 KiB 分块读取验证 raw/canonical hash。

验证

PYTHONUTF8=1 python -m unittest discover -s .github/workflows/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover -s skills/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover -s evals/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover -s release/tests -p "test_*.py" -v
python evals/production-delivery-orchestrator/run_evals.py --self-test
python evals/production-delivery-orchestrator/run_forward_tests.py --self-test
python evals/production-delivery-orchestrator/run_evals.py --report-prefix current-head
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify --expected-commit "$(git rev-parse 'v1.6.0^{}')"
git diff --check

本地证据：workflow governance 6/6、安装/盘点 25/25、Release builder 7/7；Windows eval/forward/matrix 49 项中 47 项通过、2 项 Linux 专用回归跳过，Ubuntu WSL 两项 subreaper 回归 2/2 通过。candidate 得分 100.0 且无 critical failures；known-bad 以预期非零退出被拒绝。synthetic harness、WSL 安全 stub 和离线 eval 不是实际 Agent 行为证明。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.6.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.5.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.5.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布后核验

tag CI 成功后下载 ZIP、provenance.json 与 SHA256SUMS.txt，执行 checksum、release/build_release.py --verify --expected-commit <tag-commit>、gh attestation verify 和 tagged npx skills ... --list。只有这些命令和 GitHub Release/Actions 都实际成功，才能把本版本描述为已发布。

Assets 5
Loading