部署艺术品认证

Question

clojure-tools 艺术品未认证发布，存在安全风险，特别是在 Linux 安装中。

一种简单的方法是输出一个校验和文件并对该文件进行签名。我建议不使用 openssl 或 pgp 进行签名，而是使用如 signify 这样的简单工具。

Answer 1

评论者：jwhitlark

我同意。将其发布在https://clojure.org/guides/getting_started将特别有用。

作为脚本基本来源下载的 tar 文件也未对其源进行认证。

Answer 2

参考： https://clojure.atlassian.net/browse/TDEPS-69 (由 gshayban 报告)