ci: 增加Windows签名RC发布门禁

2026-09-12 02:59:53 +08:00
parent dbab4cba50
commit 46acc18248
3 changed files with 158 additions and 0 deletions
@@ -1031,3 +1031,6 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 构建成功后默认删除可重建的 PyInstaller `work` 目录；只有显式 `--keep-work` 才保留。当前构建得到 1523 个文件、223.56 MiB，低于 300 MiB 基础包门槛。
 - 打包 Core 连续 20 次真实启动通过，每轮使用独立数据目录、不同会话代际、认证健康请求，并通过 Rust Workspace 写入及重读本地笔记；ready P95 为 2.676 秒，低于 10 秒。复制出的 Core 可执行文件修改一个字节后连续 20 次均在创建进程前返回 `CORE_INTEGRITY_FAILED`。
 - 临时 Ed25519 PEM 夹具验证了发布签名输出格式；本机没有代码签名证书，Rust 工具链为 GNU 而非 MSVC，也不是干净标准用户离线 VM。因此这些结果是 A-01 本机预检，A-01 仍不计为通过。
+- 新增手动触发的 Gitea Actions `Windows RC` 作业。作业固定 `x86_64-pc-windows-msvc`，从仓库 Secrets 解码并导入 PFX 与 Core Ed25519 PEM，生成单一动态 Tauri 配置并构建 NSIS；缺任一签名材料立即失败。
+- `verify-windows-rc.ps1` 要求恰好一个 NSIS 安装包、包体不超过 300 MiB、Host 与安装器 Authenticode 均为 `Valid` 且使用本次受控证书，同时检查 Core 签名/公钥格式并输出逐文件 SHA-256 清单。工作流只在全部门禁通过后上传 14 天保留的 RC，最后无条件移除证书、密钥目录和动态配置。
+- 本机已解析工作流 YAML 和 PowerShell 脚本语法；由于没有 Windows Runner Secrets、MSVC/SDK 和证书，不能在当前会话声称该发布作业已成功产出签名 RC。