Prüfen, dass ein untersuchtes Build-Artefakt aus der aktuellen Änderung stammt

Ziel

Verhindern, dass ein Agent eine veraltete Datei, eine Vorschau oder ein Paket als Beleg dafür akzeptiert, dass die aktuelle Quelländerung erfolgreich gebaut und ausgeliefert wurde.

Voraussetzungen

Den Build-Befehl, den erwarteten Artefaktort, die Quellrevision und die beabsichtigte konsumierende Seite identifizieren. Jedes vorherige Artefakt der nutzenden Person unangetastet lassen, bis seine Rolle und die Ersetzungsstrategie verstanden sind.

Schritte

1. Die erwartete Quellidentität und die Build-Eingaben vor der Ausführung festhalten. Die Zielkonfiguration einbeziehen, wenn dieselbe Quelle unterschiedliche Ausgaben für Entwicklung, Test und Produktion erzeugen kann.

2. Das Build-Ergebnis prüfen und das tatsächlich erzeugte Artefakt lokalisieren. Erfolg nicht aus einem vertrauten Dateinamen ableiten, der schon vor Ausführung des Befehls existierte.

3. Die Ausgabe mit einem Build-Beleg, einem Inhaltsfingerabdruck oder einer eingebetteten Revisionsmarkierung verknüpfen, sofern das Projekt eine solche unterstützt. Ein blosser Änderungszeitpunkt kann unzureichend sein, wenn Dateien kopiert oder wiederhergestellt werden.

4. Genau die Ausgabe prüfen oder ausführen, die die beabsichtigte konsumierende Seite erhalten wird. Bedient ein Vorschauserver ein anderes Verzeichnis oder überdeckt ein installiertes Paket den neuen Build, diese Verbindung korrigieren, bevor Schlussfolgerungen gezogen werden.

5. Einen fehlgeschlagenen Build durchspielen, der ein altes Artefakt zurücklässt, eine Änderung des Ausgabeverzeichnisses sowie eine konsumierende Seite, die noch auf ein früheres Paket zeigt. Die Prüfung sollte jede Abweichung erkennen und melden, welches Artefakt tatsächlich untersucht wurde.

Erwartetes Ergebnis

Die Validierungskette verknüpft Quelle, Build-Ausführung, Artefakt und konsumierende Seite. Eine erfolgreiche Vorschau- oder Paketprüfung kann dann eine Behauptung über die aktuelle Änderung stützen statt über eine sachfremde frühere Ausgabe.

Grenzen und Prüfbasis

Diese Methodik wurde hier nicht ausgeführt. Ein vertrauenswürdiger Herkunftsnachweis stellt für sich allein weder die Korrektheit des Artefakts noch die Integrität der Lieferkette sicher. Den stärkeren Attestierungsmechanismus des Projekts verwenden, wo einer existiert und die Aufgabe ihn erfordert.