博客 ·

Opensidian 0.9.3 发布

Opensidian 0.9.3 已发布:在此下载,并用签名的 SHA256SUMS 校验下载文件。

这是基于 0.9.2 的错误修复版本。下载的仍是同样五种 Linux x86_64 软件包(两种 AppImage、Flatpak、 RPM、DEB),没有新格式。

首个带来源证明的版本

0.9.3 是首个带构建来源证明(attestation)的 Opensidian 版本。每个文件都有 GitHub 制品证明 (SLSA 来源证明),表明它由本仓库的 release.yml 工作流在 GitHub 托管的运行器上构建。因此你不仅能确认 下载文件与 SHA256SUMS 一致,还能确认它的来源。现在版本在 GitHub 托管的 Ubuntu 运行器上构建,每个第三方 action 都固定到某个提交 SHA,CI 中不做任何签名。SHA256SUMS 仍用与 0.9.2 相同的密钥进行 GPG 签名。 0.9.2 及更早的版本没有来源证明。

Wayland 下拖动窗口

修复

校验下载文件

把文件下载到同一个目录,然后检查签名、校验和与构建来源:

gpg --keyserver hkps://keys.openpgp.org --recv-keys A6E69ED6BC4779F3281721484CC1AFDE15B64EA3
gpg --export A6E69ED6BC4779F3281721484CC1AFDE15B64EA3 > opensidian.gpg
gpgv --keyring ./opensidian.gpg SHA256SUMS.asc SHA256SUMS
sha256sum -c --ignore-missing SHA256SUMS
gh attestation verify opensidian-0.9.3-x86_64.rpm -R jpzk/opensidian \
  --signer-workflow jpzk/opensidian/.github/workflows/release.yml \
  --deny-self-hosted-runners

在 rpm 6 上安装 RPM

RPM 本身没有 GPG 签名(与 0.9.2 相同),而 rpm 6(例如 Fedora 44)默认拒绝未签名的软件包。请先按上面的 步骤校验文件,然后用 sudo dnf install webkit2gtk4.1 && sudo rpm -Uvh --nosignature ./opensidian-0.9.3-x86_64.rpm 安装。签名的 RPM 计划在下一个版本提供。

完整更新日志:GitHub release v0.9.3。