28 lines
757 B
Markdown
28 lines
757 B
Markdown
# M13-05E：供应链发布绑定
|
||
|
||
- `task`: `M13-05E`
|
||
- `parent`: `M13-05D`
|
||
- `status`: `done`
|
||
|
||
## 目标
|
||
|
||
将 SPDX 2.3 SBOM、第三方 notices、package/lockfile、source offer、binary/source archive、
|
||
`SHA256SUMS.txt` 和当前 commit 绑定到机器可验证报告。对应源码归档必须包含构建输入且与发布包
|
||
独立校验。
|
||
|
||
## 验收
|
||
|
||
```text
|
||
npm --prefix web run test:supply-chain-binding
|
||
npm --prefix web run test:binary-archive
|
||
npm --prefix web run test:source-archive
|
||
```
|
||
|
||
## 产物和交接
|
||
|
||
报告和 manifest 位于 `tests/golden/M13-05E/`；下一任务由 manifest 的 `nextTask` 指向 `M13-05F`。
|
||
|
||
## 回滚
|
||
|
||
移除供应链 checker、报告、manifest、package 命令和状态页；将 `M13-05D` 恢复为队列尾。
|