# Mindraw 1.2.7 正式 DMG

## 用户目标

执行 `MD-127-RELEASE-1.2.7-DMG`：从固定提交 `eac34b936ea1d6c39e598304c4e709c162f01476` 生成新的 Developer ID signed/notarized/stapled arm64 DMG，完成 build、annotated tag、manifest、SHA 与机械验证；不修改 GitHub Release，不触碰用户 App/文档。源码 Review 与 Owner acceptance 已 PASS，但正式 QA 为 `CANCELLED_BY_OWNER / WAIVED`，不得写成 QA PASS。

## 已完成事项

- 在隔离 clean clone 中检出固定提交，复用项目正式 `scripts/package-mindraw.sh` H8 链路。
- 生成 `1.2.7 / Build202607240113`。
- 创建 annotated tag `v1.2.7-Build202607240113`，直接绑定固定提交。
- Apple submission `979849d5-f93f-4673-a35b-787e55e48a65` 为 `Accepted`。
- Developer ID App/DMG、hardened runtime、staple/validate、DMG/App Gatekeeper、hdiutil、只读挂载、metadata、arm64、manifest/SHA 全通过。
- 写入 release manifest、SHA256SUMS、发布报告、统一台账、PMO_INBOX 与 INDEX。

## 关键决策

- 指定 worktree 开始时存在 `scripts/package-mindraw.sh` 未提交改动，为避免覆盖用户改动且保证固定提交构建，改用隔离 clean clone。
- 构建期间另一个并发进程推进 branch 到 `21b1760` 并占用 `Build202607240056`；本任务不覆盖并发产物，重新生成独立 `Build202607240113` 并严格绑定 `eac34b9…`。
- 正式 QA 继续记录为 `CANCELLED_BY_OWNER / WAIVED`；机械发布验证通过不转换为 QA PASS。

## 核心事实 / 变更快照

- 变更对象：Mindraw 1.2.7 Developer ID 站外 DMG 发布候选。
- 事实来源：固定 commit `eac34b936ea1d6c39e598304c4e709c162f01476`、release manifest、发布报告。
- 变更前：不存在符合本派工固定提交、build/tag/manifest/SHA 完整门禁的 1.2.7 DMG。
- 变更后：
  - Version/build：`1.2.7 / Build202607240113`
  - Tag：`v1.2.7-Build202607240113` -> `eac34b936ea1d6c39e598304c4e709c162f01476`
  - DMG SHA256：`51064e3ecbe4461bd1a8122a580e004cdcb4a09391d17342d2d1000f1b955c4d`
  - Manifest SHA256：`d047ec806c142e3c7036f9bb21d5bcc65a55bb69b7247f3418d8c711ef201bc6`
  - Notary submission：`979849d5-f93f-4673-a35b-787e55e48a65 / Accepted`
  - App metadata：`1.2.7 / Build202607240113 / com.mindraw.desktop / arm64`
- 范围边界：未安装/启动用户 App，未修改用户文档，未 push tag/branch，未修改 GitHub Release，未覆盖 fresh-machine/clean-user 首启或 release artifact QA。
- 验证证据：`02-P/M4C-GitHubOpenSource/ops/md-127-release-1.2.7-dmg-report-20260724.md`。

## 文件变更

- `03-O/C2.builds/releases/Build202607240113/`
- `02-P/M4C-GitHubOpenSource/ops/md-127-release-1.2.7-dmg-report-20260724.md`
- `02-P/plan-progress.markdown`
- `02-P/PMO_INBOX.md`
- `INDEX.md`

## 可复用命令 / Runbook

用途：在固定 commit 的隔离 clean checkout 中生成并验证 Developer ID 站外 DMG。

前置条件：Developer ID Application identity 与 notary keychain profile 已配置；不得把 profile 值、密码或私钥写入公开日志。

```bash
BUILD_ID=202607240113 \
CARGO_NET_OFFLINE=true \
MINDRAW_RELEASE_CLASS=h8-formal-rc \
MINDRAW_SIGNING_IDENTITY='<Developer ID Application>' \
MINDRAW_NOTARY_PROFILE='<configured profile>' \
CARGO_TARGET_DIR='<isolated-target>' \
npm run package:mindraw

xcrun stapler validate Mindraw_1.2.7_aarch64-Build202607240113.dmg
codesign --verify --verbose=2 Mindraw_1.2.7_aarch64-Build202607240113.dmg
spctl -a -vv -t open --context context:primary-signature Mindraw_1.2.7_aarch64-Build202607240113.dmg
hdiutil verify Mindraw_1.2.7_aarch64-Build202607240113.dmg
shasum -a 256 -c SHA256SUMS.txt
git rev-list -n 1 v1.2.7-Build202607240113
```

验证步骤：确认 notary `Accepted`、stapler/DMG/App Gatekeeper PASS、只读挂载后 version/build/bundle/arch 与 manifest 一致、SHA 清单全 OK。

清理/恢复：本 runbook 不安装 App；只读挂载验证结束后执行 `hdiutil detach '<isolated-mount>'`。不要删除或覆盖非本轮 worktree/产物。

搜索关键词：`MD-127-RELEASE-1.2.7-DMG`、`Build202607240113`、`979849d5-f93f-4673-a35b-787e55e48a65`、`51064e3ecbe4461bd1a8122a580e004cdcb4a09391d17342d2d1000f1b955c4d`

## 未决问题与后续建议

- PMO 应派 release artifact QA，独立验证本轮固定 DMG。
- QA 后再进入 GitHub 1.2.7 prerelease、真实下载 smoke 与最终 promotion。
- `Build202607240056` / `Build202607240109` 属于并发发布操作，不是本任务固定提交产物，不应替代本报告基线。