edit | blame | history | raw

Mindraw 1.2.5 冻结发布

用户目标

先冻结当前已验收代码，并交付可安装测试的 Mindraw 1.2.5 DMG；不纳入新需求，不覆盖正式 /Applications/Mindraw.app，不操作用户文档。

已完成事项

  • 将 MD-EDC-08/09 当前集成线版本统一为 1.2.5。
  • 初次冻结提交 db6b4b7ea217a5fb874a870a5e9b22cecf895143 在独立复核中发现 .mindraw 文件名路径穿越风险，因此未用于打包。
  • 最小修复严格单文件名校验与 traversal 回归，最终冻结提交为 aeec4629510f78e8430b6da0b0838705b6230b51，独立复审 PASS。
  • 前端 243、doctor 15、Rust 78、生产 build、Cargo locked check、diff check、敏感扫描通过；本机未安装 rustfmt，因此未执行 cargo fmt --check。
  • 生成 Developer ID signed、notarized、stapled 的 1.2.5 DMG，并完成 Gatekeeper、codesign、hdiutil verify、只读挂载和 manifest/SHA 复核。

核心事实 / 变更快照

  • 变更对象：Mindraw 外部分发测试基线。
  • 事实来源：commit aeec4629510f78e8430b6da0b0838705b6230b51、tag v1.2.5-Build202607210059、release manifest 03-O/C2.builds/releases/Build202607210059/release-manifest.json。
  • 变更前：源码基线 1.2.3；PDF Finder drop 修复已验收但未提交、未冻结；无 1.2.5 DMG。
  • 变更后：version 1.2.5，build Build202607210059；DMG 03-O/C2.builds/releases/Build202607210059/Mindraw_1.2.5_aarch64-Build202607210059.dmg。
  • DMG SHA256：4e4bb6ff518e304f9ab3987575d4053510b6fc189add3f3594642bd19f32676f。
  • Manifest SHA256：89540492f275abe83f7c3dce98fcbac49fd463b7d065fe60136830ec42ec1a57。
  • Notary：Accepted；staple validate、App/DMG Gatekeeper、codesign、hdiutil verify 均 PASS。
  • 范围边界：未做 fresh-machine/clean-user 首启；未替换 /Applications/Mindraw.app；tag 未推送远端；不等同公开发布完成。

关键决策

  • 不合并历史 1.2.4 runtime：此前审计确认 1.2.4 主要是发布元数据和打包脚本演进，不含必须整体合并的运行时功能。
  • 代码审核发现安全阻断后废止初始冻结点，修复并重新冻结后才允许打包。
  • 首次 Apple notary 网络 connectTimeout 不改变产物；对同一签名 DMG 重试并取得 Accepted。

文件与产物

  • 源码工作区：/Users/ar/Projects/Mindraw-worktrees/md-edc-07-current-baseline
  • DMG：/Users/ar/Projects/Mindraw-worktrees/md-edc-07-current-baseline/03-O/C2.builds/releases/Build202607210059/Mindraw_1.2.5_aarch64-Build202607210059.dmg
  • Manifest：同目录 release-manifest.json
  • Build 信息：同目录 build-info.txt
  • 公证结果：同目录 notarytool-submit.json

可复用命令 / Runbook

用途：复核 1.2.5 DMG 下载/复制后的完整性，不重新签名或公证。

前置条件：DMG 位于上述绝对路径或把 DMG 改为下载后的路径。

DMG='/Users/ar/Projects/Mindraw-worktrees/md-edc-07-current-baseline/03-O/C2.builds/releases/Build202607210059/Mindraw_1.2.5_aarch64-Build202607210059.dmg'
shasum -a 256 "$DMG"
hdiutil verify "$DMG"
xcrun stapler validate "$DMG"
spctl --assess --type open --context context:primary-signature --verbose=4 "$DMG"

验证：SHA256 必须为 4e4bb6ff518e304f9ab3987575d4053510b6fc189add3f3594642bd19f32676f，其余命令均应成功。

清理/恢复：以上均为只读检查，无需恢复；如自行挂载 DMG，测试后在 Finder 弹出即可。

搜索关键词：1.2.5、Build202607210059、v1.2.5-Build202607210059、4e4bb6ff、notary Accepted。

未决问题 / 后续建议

  • 用户可直接安装测试；若要声明面向普通用户的完整发布，还应补 fresh-machine 或 clean-user 首启路径证据。
  • release tag 目前仅本地存在，是否推送远端应由后续明确发布动作决定。