Skip to content

pgextwin CLI v0.3.1

Pre-release
Pre-release

Choose a tag to compare

View all tags
@github-actions github-actions released this 19 Oct 12:42
· 52 commits to main since this release
cli-v0.3.1
a7a1d93
This commit was created on GitHub.com and signed with GitHub’s verified signature.
GPG key ID: B5690EEEBB952194
Verified
Learn about vigilant mode.

pgextwin CLI v0.3.1 — 83.83% smaller Windows executable

English

Highlights

The Windows x64 self-contained, single-file pgextwin.exe is now 12.83 MB (12,827,362 bytes), down from 79.34 MB (79,338,604 bytes) in v0.3.0 — an 83.83% reduction.

  • Full .NET 10 trimming and single-file compression, with trim-safe, source-generated System.Text.Json serialization. The original IL2026 warnings were resolved rather than suppressed.
  • The default one-line command continues to download the latest Catalog-registered releases, currently 14 extensions × PostgreSQL 14–18 = 70 original ZIPs.
  • The Catalog selection feed is independently verified using Sigstore, including its signer identity, source commit and immutable Catalog hashes, without requiring anonymous GitHub REST API access.
  • Each downloaded original ZIP is checked against its approved SHA256; incomplete batches are discarded and existing output is never overwritten.
  • --fixed retains the historical immutable Catalog snapshot for explicit compatibility/rollback.

Get started

Download pgextwin.exe for Windows x64 and SHA256SUMS.txt.

.\pgextwin.exe download-all --pg all
.\pgextwin.exe download-all --pg 18
.\pgextwin.exe download-all --pg all --fixed

Other commands include read-only local Catalog list and search. Local Catalog listing remains explicitly UNVERIFIED.

Security and verification

The CLI executable and the Catalog selection feed are Sigstore-verified. Individual extension ZIPs are not individually Sigstore-authenticated: their SHA256 is rechecked, but their status remains INTEGRITY_ONLY. No extension signature/provenance verification, installation, service modification, offline bundle, or distribution/publication authorization is implied. CLI v0.3.1 is a GitHub prerelease, not a Windows Authenticode-signed installer.

Get-FileHash .\pgextwin.exe -Algorithm SHA256
gh attestation verify .\pgextwin.exe --repo pgextwin/catalog --signer-workflow pgextwin/catalog/.github/workflows/cli-candidate.yml --source-ref refs/heads/main --source-digest a7a1d93d38d7338d80404c402eb5faaaa96b272e

Visual CLI guide (English) · Visual CLI guide (Japanese)

日本語

主な変更点

Windows x64向けの自己完結型・単一ファイル pgextwin.exe を、v0.3.0の **79.34 MB（79,338,604バイト）**から **12.83 MB（12,827,362バイト）**に軽量化しました。**削減率は83.83%**です。

  • .NET 10の完全トリミングと単一ファイル圧縮を採用。JSON出力にはトリミング対応のSystem.Text.Jsonソース生成方式を用い、IL2026警告を抑制するのではなく原因を修正しました。
  • 標準の1行コマンドでCatalogに登録された最新版を取得します。現在は14拡張×PostgreSQL 14～18の元ZIP計70件です。
  • Sigstore署名付きCatalog選択フィードの発行元・コミット・不変CatalogのSHA256を独立検証します。GitHub匿名REST APIの利用は不要です。
  • 各ZIPのSHA256を再計算し、不一致や一部失敗の場合には出力を確定させません。既存ファイルの上書きも行いません。
  • --fixed で過去の不変Catalogスナップショットを明示的に利用できます。

使い方

Windows x64用 pgextwin.exe と SHA256SUMS.txt を取得してください。

.\pgextwin.exe download-all --pg all
.\pgextwin.exe download-all --pg 18
.\pgextwin.exe download-all --pg all --fixed

ローカルCatalogを読み取る list／search にも対応しています。ローカルの一覧情報は明示的に UNVERIFIED です。

安全性と検証証跡

Sigstore検証済みなのはCLI本体とCatalog選択フィードです。拡張ZIPの個別の真正署名が検証されたわけではありません。 拡張ZIPはSHA256によるバイト整合性のみで、状態は INTEGRITY_ONLY です。個別ZIPの署名・来歴・導入・サービス変更・オフライン統合ZIP・配布／公開認可は成立していません。CLI v0.3.1は公開済みのプレリリースであり、Windows Authenticode署名付きインストーラーではありません。

Get-FileHash .\pgextwin.exe -Algorithm SHA256
gh attestation verify .\pgextwin.exe --repo pgextwin/catalog --signer-workflow pgextwin/catalog/.github/workflows/cli-candidate.yml --source-ref refs/heads/main --source-digest a7a1d93d38d7338d80404c402eb5faaaa96b272e

Website図解（日本語） · Website visual guide (English)

Assets 7
Loading