GitHub 仓库 release 的编译二进制怎么保证源码没被修改

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 469 天前的主题，其中的信息可能已经有所发展或是发生改变。

二进制

GitHub

release

源码

4 条回复 • 2023-08-13 01:33:53 +08:00

AstroProfundis

2023-08-13 00:29:31 +08:00

关键词 reproducible build

geelaw

2023-08-13 00:31:17 +08:00 via iPhone

理论解决方案是 verifiable computation 。

实际解决方案是相信或者不用。

lhbc

2023-08-13 00:45:12 +08:00 via Android

GitHub Actions
虽然不是绝对安全，但不是用 GitHub Actions 发布的我不太敢用

cosette

2023-08-13 01:33:53 +08:00

现在一般都依赖 Github Actions ，不过较真起来也并不是有 GitHub Actions 就一定是没动过手脚的。一般 release 下载下来我会 virustotal 扫一下，图一乐。

即便是源码自己编译，或多或少的在自己无能为力的地方也只能报以信任，在源码里加料隔了很久才后知后觉的事情也不是没有。要么自己一步步验证，要么只能相信总有人会验证。