GitHub 仓库 release 的编译二进制怎么保证源码没被修改

[yueqianzhang]

[AstroProfundis]

关键词 reproducible build

[geelaw]

理论解决方案是 verifiable computation 。

实际解决方案是相信或者不用。

[lhbc]

GitHub Actions
虽然不是绝对安全，但不是用 GitHub Actions 发布的我不太敢用

[cosette]

现在一般都依赖 Github Actions ，不过较真起来也并不是有 GitHub Actions 就一定是没动过手脚的。一般 release 下载下来我会 virustotal 扫一下，图一乐。

即便是源码自己编译，或多或少的在自己无能为力的地方也只能报以信任，在源码里加料隔了很久才后知后觉的事情也不是没有。要么自己一步步验证，要么只能相信总有人会验证。