Estrella Pan
2ed46695a2
feat(plugins): 条目以 sha256 绑定审查过的 zip
...
PR 检查打出的 zip 的 sha256 写进条目。合并后在独立 job 中重新打包的 zip、
签名 job 汇总的 zip（含复用的旧 zip）都必须与它一致才签名，构建在 PR 与
合并后产出不同字节时发布失败，不会签下未审查的内容。条目缺少或写错 sha256
时，PR 检查在摘要中给出应填的值。
2026-10-09 12:02:02 +02:00
Estrella Pan
d664122af8
fix(plugins): 按 Codex 审查加固插件市场流水线
...
- 拒绝符号链接形式的条目；PR 检查纳入类型变更（T）
- PR 头部先解析为固定 SHA，作者代码不能借 FETCH_HEAD 换掉被检查的 commit
- 使用已发布的 catalog 前先验签，篡改的 release 资源不会被重新签名
- 全部下架时签发空目录
2026-10-09 10:31:55 +02:00
Estrella Pan
c77f437fc7
fix(plugins): 插件市场流水线按审查意见加固
...
- 插件公钥移入 module/plugin/，随在线更新包分发，旧镜像更新后也能验签目录
- 合并后每个插件在独立的 job 中构建；签名 job 自己下载复用的 zip 并校验
sha256，逐个核对新 zip 的 id 与来源，单个插件的构建篡改不到别的插件
- 发布只从 4.0-dev 运行；PR 检查使用 base 分支的脚本与 ab_sdk
- 复用判断加入 path，手动触发可全部重新打包
- 打包前拒绝符号链接；摘要转义作者控制的输出；单个条目出错不影响整份摘要
- 已上架版本以已发布的 catalog 为准，不再拉取旧 commit
- 修复 git diff 把提交范围当作路径的问题
2026-10-09 10:22:55 +02:00
Estrella Pan
eb1598c21e
feat(plugins): 插件市场索引与签名发布流水线
...
- plugins/registry/<id>.toml 指向作者仓库的固定 commit（repo、commit、path）
- scripts/plugin_registry.py：check 在 PR 上校验改动的条目、运行作者测试、
从 web-src/ 构建前端并写审查摘要；build 在合并后增量打包（commit 未变的
条目复用已发布的 zip）
- plugin-registry.yml：check / build 不读 secret，sign 只用 PLUGIN_SIGNING_KEY
签名，不运行作者代码；发布到 release plugins 并删除下架的资源
- 插件目录改用独立的插件公钥 ab_plugin_pubkey.pem，与在线更新密钥分开
- catalog 条目新增 authors、permissions、has_web、repo、commit、readme
- 6 个示例插件上架；上架文档（中 / 英 / 日）、PR 模板与 CODEOWNERS
2026-10-09 10:13:30 +02:00
Estrella Pan
406f1a074f
fix(4.0): 插件目录默认 min_ab_version 改为 4.0.0-beta.1
...
semver 中 4.0.0-beta.N 低于 4.0.0，原默认值与文档命令会使全部 4.0 beta
用户无法安装目录插件。
2026-10-08 16:04:48 +02:00
Estrella Pan
a1adf237b8
feat(4.0-P7): 新增 5 个示例插件，逐个运行契约与行为测试
...
- webhook-on-event、custom-rss-site、template-rename、nfo-writer、ntfy-notifier
- scripts/test_example_plugins.sh 对每个示例运行 ab-plugin validate 与自带测试
- 宿主侧测试把全部示例载入 PluginManager，断言 Provider 与钩子已登记
- NotifierContract 发现 ntfy 示例的中文标题请求头缺陷，已改用 bytes 请求头
2026-10-08 14:50:59 +02:00
Estrella Pan
ab9801b63a
feat(4.0-P7): 签名目录来源：LLM 安装器泛化为通用插件安装器
...
- SignedCatalogInstaller 提供目录 / 插件包验签、sha256、防 zip-slip 与落盘；PluginInstaller 从 plugins tag 安装 plugin.toml 插件，LLM 安装器改为其子类，行为不变
- 加载器新增 catalog 来源（builtin > catalog > local > pip），视为已签名
- 新增 GET /plugins/catalog、POST /plugins/{id}/install、DELETE /plugins/{id}；安装前拒绝保留 id、非法 id 与内置同名，卸载只删除安装器装入的目录
- scripts/build_plugin_catalog.py 生成并签名 catalog.json
2026-10-08 14:23:12 +02:00
Estrella Pan
582144b209
fix: make release classification deterministic
2026-07-10 12:05:02 +02:00
Estrella Pan
a630d10cde
feat(dev): one-command dev environment via scripts/dev.sh
...
up/down/seed/status/reset/shot subcommands: reuses the e2e docker
services (qBittorrent + mock RSS), starts backend with AB_DEV_NO_AUTH=1
and the webui dev server, pins a stable qB password, completes the
setup wizard through the API, and subscribes the mock feed — a seeded,
login-free dev stack in one command. shot provides a headless-Chrome
screenshot fallback (the bundled Chrome-for-Testing hangs on
Page.captureScreenshot on macOS).
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com >
Claude-Session: https://claude.ai/code/session_01GTnuEgR78cBk32bLNKar3z
2026-07-02 21:33:02 +02:00
EstrellaXD
3770d33f77
chore: add beta release notes generator script
...
Generates concise release notes showing only changes between beta versions:
- Auto-detects previous beta tag
- Groups commits by type (feat, fix, perf, docs)
- Excludes chore/refactor/test commits from notes
- Includes link to full changelog comparison
Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com >
2026-01-26 16:14:01 +01:00
