v0.1.0

配布物

OS	アーカイブ	位置づけ
Windows	tacpendium-windows-amd64.zip	公式サポート
macOS (Apple Silicon)	tacpendium-darwin-arm64.tar.gz	非公式・動作保証なし
Linux	tacpendium-linux-amd64.tar.gz	非公式・動作保証なし

各アーカイブの隣に .sha256 を置いています。展開すると README.txt と操作説明書 (manual/) が入っています。

---

1. 壊れていないことの確認 (SHA-256)

同じ手順はアーカイブ内の README.txt にも入っています。ただし展開前に照合したい場合はこちらを使ってください。

■ ダウンロードしたファイルの破損確認(SHA-256)
--------------------------------------------------
配布アーカイブの隣には、同じ名前に .sha256 を付けたチェックサムファイルが置いて
あります。ダウンロードが途中で壊れていないかは、次のコマンドで確認できます。

  - Windows(PowerShell):
      Get-FileHash tacpendium-windows-amd64.zip -Algorithm SHA256
    表示された Hash の値が、tacpendium-windows-amd64.zip.sha256 に書かれている
    値と一致すれば問題ありません。

  - macOS:
      shasum -a 256 -c tacpendium-darwin-arm64.tar.gz.sha256

  - Linux:
      sha256sum -c tacpendium-linux-amd64.tar.gz.sha256

※これは「ファイルが壊れていないこと」の確認です。「配布元が正しいこと」の証明で
  はありません。

---

2. 出どころの確認 (ビルド来歴 / artifact attestation)

SHA-256 が示すのは「ファイルが壊れていないこと」だけで、「そのファイルが正しい出どころから来たこと」は示しません。
こちらは配布物が このリポジトリのこのコミット から GitHub Actions 上で作られたこと を確認します。

GitHub CLI が要ります。

gh attestation verify <ダウンロードしたアーカイブ> --repo plexiblinp/tacpendium

例:

gh attestation verify tacpendium-windows-amd64.zip --repo plexiblinp/tacpendium
gh attestation verify tacpendium-darwin-arm64.tar.gz --repo plexiblinp/tacpendium
gh attestation verify tacpendium-linux-amd64.tar.gz --repo plexiblinp/tacpendium

このリリースに添付した SBOM(.spdx.json)にも同じ来歴の署名が付いています。中身の部品表を確認したい場合に使ってください。

---

このリリースが証明すること・しないこと

✅ ファイルが壊れていない	SHA-256
✅ このリポジトリのこのコミット から CI で作られた	attestation
✅ 何が入っているか	SBOM
❌ コード署名 (Authenticode) は付いていません	Windows で SmartScreen の警告が出ます。上の 2 つで出どころを確認してください

---

タグ: v0.1.0