Houd een release draft tot alle artefacten en de handtekening compleet zijn #2311

New issue

Closed

opened 2026-10-06 01:47:44 +00:00 by brenno · 0 comments

brenno commented

2026-10-06 01:47:44 +00:00

Owner

Probleem

De releaseworkflow maakt een Forgejo-release meteen publiek met draft:false. De platformartefacten, Debian-publicatie en de minisign-handtekening volgen daarna. Een fout halverwege levert daardoor een publiek zichtbare deelrelease op, terwijl de releasetekst SHA256SUMS.minisig al belooft.

Bewijs

.forgejo/workflows/release.yml:716-721 maakt de release direct publiek.
De assets volgen pas op regels 746-858 en Debian-publicatie op 863-877.
scripts/release_auto.sh:1126-1232 tekent SHA256SUMS pas later lokaal.
Een ontbrekende CI_IMAGE_TOKEN of een uploadfout kan eerdere assets publiek laten staan zonder complete release.

Gewenst gedrag

Maak of hergebruik de release als draft.
Publiceer pas nadat alle verwachte assets, Debian-SHA en een geldige minisign-handtekening aanwezig zijn.
Iedere fout laat de release als draft staan.
Hervatten en herhalen zijn idempotent en vervangen geen geldige assets uit een andere poging.

Regressietoets

Laat een publicatiestap halverwege falen. De release blijft draft en wordt pas publiek nadat alle nacondities aantoonbaar kloppen.

## Probleem De releaseworkflow maakt een Forgejo-release meteen publiek met draft:false. De platformartefacten, Debian-publicatie en de minisign-handtekening volgen daarna. Een fout halverwege levert daardoor een publiek zichtbare deelrelease op, terwijl de releasetekst SHA256SUMS.minisig al belooft. ## Bewijs - .forgejo/workflows/release.yml:716-721 maakt de release direct publiek. - De assets volgen pas op regels 746-858 en Debian-publicatie op 863-877. - scripts/release_auto.sh:1126-1232 tekent SHA256SUMS pas later lokaal. - Een ontbrekende CI_IMAGE_TOKEN of een uploadfout kan eerdere assets publiek laten staan zonder complete release. ## Gewenst gedrag - Maak of hergebruik de release als draft. - Publiceer pas nadat alle verwachte assets, Debian-SHA en een geldige minisign-handtekening aanwezig zijn. - Iedere fout laat de release als draft staan. - Hervatten en herhalen zijn idempotent en vervangen geen geldige assets uit een andere poging. ## Regressietoets Laat een publicatiestap halverwege falen. De release blijft draft en wordt pas publiek nadat alle nacondities aantoonbaar kloppen.

brenno added the

bug

release-blocker

accepted

labels

2026-10-06 01:47:44 +00:00

brenno added the

in-progress

label

2026-10-06 20:51:08 +00:00

brenno referenced this issue from a commit

2026-10-06 21:28:44 +00:00