Fiducia e plugin
Un sistema di plugin è un invito a eseguire il codice di qualcun altro sui tuoi file. Questa pagina riguarda i limiti di quell’invito: cosa significa revisione, cosa l’app ricontrolla prima di installare qualsiasi cosa, e cosa un plugin non può raggiungere nemmeno dopo il tuo sì.
Il meccanismo
Quattro fasi distinte, ognuna delle quali può rifiutare: la revisione, la voce di catalogo, il download, e i permessi che concedi dopo.
L’archivio è costruito in modo deterministico e il suo SHA-256 registrato. Una nuova sottomissione con byte diversi viene rifiutata invece che unita: qualsiasi modifica — anche una sola riga riformulata — deve diventare una nuova versione con la propria revisione.
Dopo il download l’app ricalcola lo SHA-256 e lo confronta con il valore revisionato, e verifica che la dimensione corrisponda a quella registrata. Una differenza rifiuta l’installazione del tutto invece di avvisare.
Una voce di catalogo è accettata solo se il suo URL di download è https, su linelark.com, al percorso esatto di quel plugin e di quella versione, senza stringa di query né frammento. Un catalogo manomesso non può dirottare un’installazione verso un altro host.
Nessun collegamento simbolico, nessun percorso che esca dal bundle, al massimo 1.000 voci, al massimo 20 MB decompressi e 50 MB compressi. Uno zip che tenti una di queste cose viene rifiutato prima che si scriva alcunché.
Il manifesto chiede l’accesso in scrittura a git, host con un nome, e credenziali con un nome. Installare non concede nulla: attivi ogni voce in Gestisci plugin, e il pannello mostra esattamente cosa è stato chiesto.
I permessi sono legati a un’impronta delle capacità del manifesto. Un aggiornamento che aggiunge un host, o che sposta una credenziale in un’altra intestazione, deve richiedere da capo invece di ereditare il sì dato alla versione precedente.
I dettagli
Sono proprietà della superficie dell’API più che promesse sul comportamento dei plugin. Una capacità che non esiste non può essere né chiesta, né abusata, né concessa per errore.
| Limite | Come viene tenuto |
|---|---|
| Leggere una credenziale salvata | Nessuna chiamata ne restituisce una. Un plugin può chiedere se una credenziale esiste e può consegnarne una; il valore viene allegato alle richieste dall’host e non entra mai nel contesto del plugin. |
| Mandare una credenziale altrove | Ogni credenziale è legata nel manifesto a un solo host e a una sola intestazione. L’host la allega solo alle richieste dirette a quell’host. |
| Raggiungere un host non dichiarato | Solo HTTPS, host confrontati esattamente senza caratteri jolly, reindirizzamenti non seguiti, risposte limitate a 5 MB. |
| Toccare file qualsiasi | Non esiste alcuna API per il file system. L’archiviazione di un plugin è un solo file JSON indicato dal suo identificativo, senza percorsi da nominare, limitato a 4 MB e 2.000 chiavi. |
| Scrivere sul disco di nascosto | L’unica uscita è una finestra di salvataggio. La finestra è il consenso: non c’è quindi alcun argomento di percorso che un plugin possa scegliere. |
| Forzare un push, azzerare o unire | Nessuna chiamata del genere esiste. Il pull è solo in avanzamento rapido, e un push divergente viene rifiutato da git stesso. |
| Scartare le tue modifiche senza chiedere | È l’host a mostrare quella conferma, prima della chiamata, perché un plugin non può mostrare una finestra di dialogo e un plugin che potesse farlo sarebbe la cosa sbagliata a cui affidarla. |
| Caricarsi su un host troppo vecchio | Un plugin dichiara la generazione di API per cui è stato scritto, e un’app più vecchia rifiuta di caricarlo e lo dice, invece di perdere metà del suo pannello in silenzio. |
Letto nel codice pubblicato di Linelark Studio 1.17.1, non nella sua documentazione. Quando i due non concordano, è questo che viene rilasciato.
Prima di farci affidamento
I meccanismi qui sopra sono reali e verificabili. Le parti che non sono meccaniche meritano di essere nominate, perché una pagina sulla fiducia che elenca solo punti di forza non è una pagina sulla fiducia.
Gratis, e per davvero
Notarizzato da Apple, macOS 14 e versioni successive, Intel e Apple silicon.
Scarica Studio 1.17.1 8.5 MB · tutte le versioni, con le loro impronte