fix(release): vaste kandidaten en stabiele AppImage-tool #2693

Merged

brenno merged 2 commits from codex/release-fixed-candidate into main

2026-11-01 19:58:37 +00:00

brenno commented

2026-11-01 19:58:12 +00:00

Owner

Wijziging

Pin beide Linux-bouwroutes aan officiële appimagetool 1.9.1 met gecontroleerde SHA256, zodat upstream continuous de release niet opnieuw stillegt.
Leg iedere kandidaat op beide remotes vast als codex/release-candidate-<tag>-<volledige SHA>. Aanmaken mag alleen bij een afwezige ref; bestaande refs worden nooit verplaatst.
Start Windows-suite en native bouw voordat de volledige kandidaatbouw wordt gevolgd. Tag pas na succesvolle Windows-controles, platform- en installatieproeven en teruggelezen manifest/archiefchecksums.
Selecteer een beoordeelde verpakkingsreparatie voor dezelfde ongetagde versie expliciet via --candidate-sha. Controleer oorspronkelijke release-ancestry, identieke pubspec, normale merge-tree en exacte gemergde PR. Productcode en cataloguscode zijn uitgesloten.
Behoud reeds gepubliceerde tags en hun exact geattesteerde oudere kandidaatbewijs.

Bewijs

105 gerichte tests groen: 57 release/selectie/ref/echte archief- en tagproeven plus 48 Windows-verpakkingstests.
Uitvoerbare foutproeven blokkeren verkeerde SHA/ref, verschoven kandidaatrefs, falende suite/kandidaat en afwijkende archiefbytes vóór lokale of publieke tagmutatie. Een later verschoven main is toegestaan bij dezelfde vaste kandidaat.
Vast appimagetool-bestand gedownload en digest vergeleken met officiële release-API.
Beveiligingsreview vond geen bevestigde nieuwe regressie. De inhoud van gewijzigde workflows blijft een beoordelingsgrens; alleen toegestane bestandsnamen bewijzen geen veilige controles.

Volledige lokale poort

make check-full op exacte head 4771f93b6bfe490841f053feb809243f80bd4712: volledig groen, exitcode 0. Log: /tmp/ocideck-fixed-candidate-full-gate2.log. Inclusief 15.027, 1.238 en 83 geslaagde tests in de drie reeksen, geheimenscans, SAST, webharding, licenties/SBOM en echte Marp-proef. Er is nog geen echte kandidaatdispatch of publieke tag uitgevoerd door deze reparatie.

## Wijziging - Pin beide Linux-bouwroutes aan officiële appimagetool 1.9.1 met gecontroleerde SHA256, zodat upstream `continuous` de release niet opnieuw stillegt. - Leg iedere kandidaat op beide remotes vast als `codex/release-candidate-<tag>-<volledige SHA>`. Aanmaken mag alleen bij een afwezige ref; bestaande refs worden nooit verplaatst. - Start Windows-suite en native bouw voordat de volledige kandidaatbouw wordt gevolgd. Tag pas na succesvolle Windows-controles, platform- en installatieproeven en teruggelezen manifest/archiefchecksums. - Selecteer een beoordeelde verpakkingsreparatie voor dezelfde ongetagde versie expliciet via `--candidate-sha`. Controleer oorspronkelijke release-ancestry, identieke pubspec, normale merge-tree en exacte gemergde PR. Productcode en cataloguscode zijn uitgesloten. - Behoud reeds gepubliceerde tags en hun exact geattesteerde oudere kandidaatbewijs. ## Bewijs - 105 gerichte tests groen: 57 release/selectie/ref/echte archief- en tagproeven plus 48 Windows-verpakkingstests. - Uitvoerbare foutproeven blokkeren verkeerde SHA/ref, verschoven kandidaatrefs, falende suite/kandidaat en afwijkende archiefbytes vóór lokale of publieke tagmutatie. Een later verschoven main is toegestaan bij dezelfde vaste kandidaat. - Vast appimagetool-bestand gedownload en digest vergeleken met officiële release-API. - Beveiligingsreview vond geen bevestigde nieuwe regressie. De inhoud van gewijzigde workflows blijft een beoordelingsgrens; alleen toegestane bestandsnamen bewijzen geen veilige controles. ## Volledige lokale poort `make check-full` op exacte head `4771f93b6bfe490841f053feb809243f80bd4712`: volledig groen, exitcode 0. Log: `/tmp/ocideck-fixed-candidate-full-gate2.log`. Inclusief 15.027, 1.238 en 83 geslaagde tests in de drie reeksen, geheimenscans, SAST, webharding, licenties/SBOM en echte Marp-proef. Er is nog geen echte kandidaatdispatch of publieke tag uitgevoerd door deze reparatie.

brenno added 2 commits

2026-11-01 19:58:12 +00:00