Confiance et plugins
Un système de plugins est une invitation à exécuter le code de quelqu’un d’autre sur vos fichiers. Cette page porte sur ce à quoi cette invitation est limitée ici : ce que veut dire la relecture, ce que l’app revérifie avant d’installer quoi que ce soit, et ce qu’un plugin ne peut pas atteindre même après votre accord.
Le mécanisme
Quatre étapes distinctes, dont chacune peut refuser : la relecture, l’entrée de catalogue, le téléchargement, et les permissions que vous accordez ensuite.
L’archive est construite de façon déterministe et son SHA-256 consigné. Une nouvelle soumission dont les octets diffèrent est refusée plutôt que fusionnée : toute modification — même une seule ligne reformulée — doit devenir une nouvelle version avec sa propre relecture.
Après le téléchargement, l’app recalcule le SHA-256 et le compare à la valeur relue, et vérifie que la taille correspond à celle enregistrée. Une différence refuse l’installation purement et simplement plutôt que d’avertir.
Une entrée de catalogue n’est acceptée que si son URL de téléchargement est en https, sur linelark.com, au chemin exact de ce plugin et de cette version, sans chaîne de requête ni fragment. Un catalogue altéré ne peut pas rediriger une installation vers un autre hôte.
Aucun lien symbolique, aucun chemin sortant du bundle, 1 000 entrées au maximum, 20 Mo décompressés et 50 Mo compressés au maximum. Un zip qui tente l’un de ces écarts est rejeté avant que rien ne soit écrit.
Le manifeste demande l’accès en écriture à git, des hôtes nommés, et des identifiants nommés. Installer n’accorde rien — vous activez chaque élément dans Gérer les plugins, et le panneau montre exactement ce qui a été demandé.
Les permissions sont liées à une empreinte des capacités du manifeste. Une mise à jour qui ajoute un hôte, ou qui déplace un identifiant vers un autre en-tête, doit redemander depuis zéro plutôt que d’hériter du oui donné à la version précédente.
Les détails
Ce sont des propriétés de la surface d’API plutôt que des promesses sur le comportement des plugins. Une capacité qui n’existe pas ne peut être ni demandée, ni détournée, ni accordée par erreur.
| Limite | Comment elle est tenue |
|---|---|
| Lire un identifiant stocké | Aucun appel n’en renvoie un. Un plugin peut demander si un identifiant existe et peut en confier un ; la valeur est attachée aux requêtes par l’hôte et n’entre jamais dans le contexte du plugin. |
| Envoyer un identifiant ailleurs | Chaque identifiant est lié dans le manifeste à un seul hôte et à un seul en-tête. L’hôte ne l’attache qu’aux requêtes destinées à cet hôte. |
| Atteindre un hôte non déclaré | HTTPS uniquement, hôtes comparés exactement sans caractères génériques, redirections non suivies, réponses plafonnées à 5 Mo. |
| Toucher des fichiers arbitraires | Il n’y a aucune API de système de fichiers. Le stockage d’un plugin est un seul fichier JSON désigné par son propre identifiant, sans chemin à nommer, plafonné à 4 Mo et 2 000 clés. |
| Écrire sur le disque discrètement | La seule sortie est une fenêtre d’enregistrement. La fenêtre est le consentement : il n’y a donc aucun argument de chemin qu’un plugin puisse choisir. |
| Forcer un push, réinitialiser ou fusionner | Aucun appel de ce genre n’existe. Le pull est en avance rapide seulement, et un push divergent est rejeté par git lui-même. |
| Jeter vos modifications sans demander | L’hôte affiche lui-même cette confirmation, avant l’appel, parce qu’un plugin ne peut pas montrer de fenêtre de dialogue et qu’un plugin qui le pourrait serait la mauvaise chose à qui confier cela. |
| Se charger sur un hôte trop ancien | Un plugin déclare la génération d’API pour laquelle il a été écrit, et une app plus ancienne refuse de le charger et le dit, plutôt que de perdre la moitié de son panneau en silence. |
Lu dans le code publié de Linelark Studio 1.17.1, et non dans sa documentation. Quand les deux divergent, c’est celui-ci qui est livré.
Avant de compter dessus
Les mécanismes ci-dessus sont réels et vérifiables. Les parties qui ne sont pas mécaniques méritent d’être nommées, parce qu’une page sur la confiance qui ne liste que des forces n’est pas une page sur la confiance.
Gratuit, et pour de bon
Notarisé par Apple, macOS 14 et versions ultérieures, Intel et Apple silicon.
Télécharger Studio 1.17.1 8.5 MB · toutes les versions, avec leurs empreintes