Let's document how to verify a Node.js downloads on the website
まだ誰も着手していません。
- 主要言語
- TypeScript
- スター
- 6.9k
- フォーク
- 6.5k
- 平均マージ
- 2日 8時間
- マージ済み PR（30日）
- 29
説明
As discussed in https://github.com/nodejs/node/issues/58904#issuecomment-3031456396, the way we document how to verify Node.js downloads is not ideal, and there seems to be consensus for switching our recommendation from the public OpenPGP.org server to our own nodejs/release-keys repository. On top of changes in the nodejs/node README, we should also host on the website what is the trusted way to verify a Node.js download.
What we need to provide on the website (presumably on the Downloads page) would be:
- a git commit hash to a revision of nodejs/release-keys that contain keys to all.
- a SHA-256 of the
gpg-only-active-keys/pubring.kbxon that revision.
Opening this now in case it involves design changes, but it shouldn't land until after the nodejs/node README is edited (currently it still points to keys.openpgp.org as the recommended source).
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
調査の方向性
まず、ウェブサイトの Downloads ページと、関連する nodejs/node README の変更を確認し、更新された推奨事項への依存関係を確認します。信頼できる nodejs/release-keys のリビジョンと、その gpg-only-active-keys/pubring.kbx の SHA-256 を記録します。検証手順がウェブサイトに公開された時点で完了とします。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- git, nextjs, nodejs, typescript
- 領域
- documentation, security, web-dev
- issue の種類
- ドキュメント
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 活発さ
- 停滞
- 明瞭さ
- おおむね明確
- 初心者へのやさしさ
- 45/100