验证已部署的工件

Question

clojure-tools 工件未经过验证发布，存在安全风险，尤其是在 Linux 安装方面。

一个简单的方法是输出一个校验和文件，并对校验和文件进行签名。我建议不要使用 openssl 或 pgp 进行签名，而是使用简单的工具如 signify。

Answer 1

评论者：jwhitlark

我同意。如果发布到 https://clojure.org/guides/getting_started，将会特别有用。

作为脚本的基座下载的 tar 包也没有验证其来源。

Answer 2

参考： https://clojure.atlassian.net/browse/TDEPS-69（由 gshayban 报告）