v0.2.1

channel: stable

取得したものが本物か確かめる

# 1. 成果物と checksum を落とす
gh release download v0.2.1 --repo masa-san-jp/Agent-Aiko \
  --pattern '*.tar.gz' --pattern 'SHA256SUMS'

# 2. 中身が置いたものと同じか
sha256sum -c SHA256SUMS

# 3. このリポジトリのワークフローが作ったものか（gh 2.49 以上が必要）
gh attestation verify agent-aiko-v0.2.1.tar.gz --repo masa-san-jp/Agent-Aiko

gh attestation は gh 2.49 で入ったサブコマンド。それより古いと 3 は実行できない
（gh --version で確認できる）。

2 は配送途中の破損・改竄を、3 は出どころを確かめる。3 まで通って初めて
「GitHub 上で差し替えられていない」と言える。

この成果物は git archive でタグの中身をそのまま固めたもの。ビルド結果を
含まないので、同じ git で作り直せば同じ checksum が出る。