alireza0X-UI 与 S-UI 核心维护者

作者发言

GitHub·2026.11.01 00:53:20（UTC+8）

alireza0 说明 s-ui 暂不采用发布签名的原因

在 s-ui #1303 的发布签名建议中，alireza0 表示暂不采用：保存在 GitHub Actions 的签名密钥或绑定仓库工作流的无密钥证明，仍可由控制账号的人使用，不能覆盖该账号被攻破的情形；他认为离线密钥才可覆盖，但需逐次手动签名。他还说明，面板更新使用与 root 执行的 install.sh 相同的 GitHub Release，只在管理员点击时运行，不会自动更新。

作者原文@alireza0

Thanks. I'll pass on this for now.

A signing key that lives in GitHub Actions, or a keyless attestation tied to this repository's workflow, is available to whoever controls the account, so it doesn't cover the compromise scenario.
Only an offline key would, and that means signing every release by hand.
The in-panel update also doesn't extend trust: it uses the same GitHub release that install.sh installs as root, and it runs only when an admin clicks it, never automatically.