[aeoform]

摘要

Fixes #（无关联 issue：来自 release 资产里 14 个 latest-*.json 的整理诉求）。

更新器的清单来源从 GitHub Release 资产搬到项目 CDN，并停掉「把 14 个 latest-*.json 挂到每个 release」这一步：

https://dl.aeoform.com/updates/stable/latest-{target}-{arch}.json
https://dl.aeoform.com/updates/beta/latest-{target}-{arch}-beta.json

清单格式完全不变（version / pub_date / url / signature），tauri-plugin-updater 继续负责下载、minisign 校验和平台安装，只换「去哪里取清单」。历史 release 里的 json 一份没删；新 release 不再产生它们。

修复 / 新增 / 改进

• 新增 src-tauri/src/update_source.rs：CDN 基址 + 清单 URL 模板的唯一来源（endpoint_template / manifest_url），带 5 个单测覆盖 stable/beta 路径、7 个 target/arch 组合与 token 替换。
• tauri.conf.json：plugins.updater.endpoints 从 GitHub 直连 + fastgit 两条改成 CDN Stable 一条（{{target}}/{{arch}} 占位符保留，由插件在 check 时替换）。
• commands/settings.rs：Beta 渠道不再走「拉 releases.atom 找最新 prerelease tag → 拼 releases/download/{tag}/...-beta.json」，改成直接切 CDN 的 /updates/beta/ 路径；resolve_beta_manifest_endpoints（含 mirror/direct 拼装）整段删除，Beta 检查少一次 github.com 往返。
• android/updater.rs + android/updater_logic.rs：Android 检查改为 CDN 单地址（manifest_url(channel, "android", arch)），删掉 stable_manifest_urls / beta_manifest_urls 与 parse_beta_atom 死代码及其 4 个测试；atom 解析本身与它的测试保留（IPC fetch_latest_beta_release 仍在用）。
• app_download_and_install_android_update 的 SSRF 白名单加入 CDN 前缀，并保留旧 GitHub/fastgit 前缀（旧清单里缓存的地址仍可安装）。
• repository-owner-contract：原来断言「endpoints 必须指向当前 GitHub 仓库」，改断言 endpoints 指向 update_source.rs 里 CDN_BASE 声明的同一 CDN、走 /updates/stable/latest-、保留占位符、且不得再指向 github.com（把两个文件里的约定钉在一起，避免以后单边漂移）。
• 文档：README.md / README.zh.md 的更新说明与 Beta 分发说明改为 CDN 口径；RELEASING.md 补一条「发版后清单必须从 run artifact 同步到 CDN」；shared_types.rs 里 UpdateChannel 的注释同步。
• 发布侧（第二个提交）：release-tauri.yml 的 softprops files 去掉 bundle/latest-*.json；android-apk.yml 的 release 文件列表去掉 latest-android-*.json，并新增 openless-android-updater-manifests 产物（否则 Android 清单会随删除一起丢失，原来它只活在 release 资产里）。桌面清单继续通过既有的 openless-macos-<arch>-updater / openless-windows-x64-updater 产物离开 workflow，CDN 同步从那里取。

兼容

• 不包含：不改 write-updater-manifest.mjs 的生成逻辑（含 -mirror 变体，历史仍在读它的旧客户端不受影响）、不改签名材料与 AGC、不删除任何历史 release 的资产。
• ⚠️ 对现有用户的影响：改动前装好的客户端 endpoint 是 hardcode 的 GitHub releases/latest/download/latest-*.json。新 release 不再带这些文件，因此它们无法自动更新到本版本之后，需要手动下载一次。这是「让新 release 干净」的必然代价；如果不接受，把第二个提交（ci(release):）单独回滚即可，客户端改动与它互不依赖。
• 发布流程新增一步人工动作：把清单从 run artifact 同步到 CDN。清单没同步 = 发布了但自动更新看不见（手动下载仍可用），RELEASING.md 已写明。
• 行为变化：
  • Stable 检查不再依赖 github.com（清单 + 安装包都走 dl.aeoform.com），fastgit 兜底随之取消——CDN 成为单一源，若 CDN 不可用则更新检查失败（旧版本仍可用 GitHub 路径）。
  • Beta 检查不再需要 tag 发现，少一次 releases.atom 请求；渠道隔离从文件名后缀（-beta.json）变成 URL 路径（/updates/beta/）。
• 已知前提：签名版本字段。2.0.1 的 .sig trusted comment 里没有 version: 段（早于 Tauri CLI --app-version），2.0.2-Beta.3 有。本方案走插件标准 check() 路径，不要求签名内嵌版本（未使用 restore_update，那条路会强制 require_signed_version 并对 2.0.1 的包报 MissingSignedVersion）。若将来想改成「客户端直接从 tag + .sig 推导，彻底不要清单」，这个差异会变成阻塞点。

测试计划

• 命令：node scripts/*contract*.test.mjs（44 个）
• 结果：全绿（含改动后的 repository-owner-contract、android-apk-workflow-contract、release-publication-contract）
• 命令：npm run check:android-updater-pubkey
• 结果：OK（pubkey 未变）
• 命令：cargo check --locked --manifest-path src-tauri/Cargo.toml --target aarch64-linux-android（NDK 26.1.10909125，SHERPA_ONNX_LIB_DIR 就绪）
• 结果：Finished dev profile in 1m 07s，新增/改动的 android 侧与 update_source 无 error、无 warning（其余 374 条 warning 为既有）
• 命令：update_source.rs 单测（把该文件原样挂进独立 crate 跑，因为本机没有 macOS/Windows 工具链可编 Tauri 桌面配置）
• 结果：5 passed
• 桌面分支由 CI 证实：macOS checks 12m21s ✅、Windows checks 18m20s ✅（本机无 macOS/Windows 工具链，本地无法编译该 cfg）。
• 全量 Node 测试：scripts/*.test.mjs 全部通过；YAML 解析由 release-publication-contract / android-apk-workflow-contract 用 js-yaml 加载校验。
• 证据路径（真实网络，不是 mock）：
  • 14 个 CDN 清单全部 200 且为当前版本（stable 2.0.1+build.20261016，beta 2.0.2-Beta.3+build.20261026-c9f49c60）：updates/{stable,beta}/latest-{darwin,windows,android}-{aarch64,x86_64,armv7,i686}[-beta].json（含 armv7/i686 等全部组合）。
  • 清单里 url 指向的 CDN 安装包可下载：HTTP 200。
  • 清单里的 signature 与上游 release 资产 *.sig 逐字节一致（2.0.1 darwin-aarch64、Beta.3 windows-x86_64 各验一次），即 CDN 只是镜像、签名绑定未变。
  • 占位符替换与插件实现一致：latest-{{target}}-{{arch}}.json → url::Url 编码为 %7B%7Btarget%7D%7D → 插件 replace 后得到 https://dl.aeoform.com/updates/stable/latest-darwin-aarch64.json，与上面 200 的地址一致（单独跑了一段模拟插件替换的验证）。

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
📝 Code Review	✅ Completed 2026-10-27T13:09:47.452697Z	035d982	New commits

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: ecc9994309

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

Codex can also answer questions or update the PR. Try commenting "@codex address that feedback".

[chatgpt-codex-connector]

Validate the CDN hostname rather than its string prefix

On Android, an update manifest containing a URL such as https://dl.aeoform.com@attacker.example/package.apk now passes this allowlist even though the request goes to attacker.example. Unlike the existing GitHub prefixes, which include a path after the hostname, the new CDN prefix ends at the authority and therefore accepts userinfo and hostname-suffix tricks. android::updater::download_and_install makes the request before verifying the signature, so signature verification does not prevent the unintended network access. Parse the URL and require the HTTPS scheme and exact CDN hostname before downloading.

Useful? React with 👍 / 👎.