База знаний · Библиотеки

Целостность: почему библиотека приходит именно та

Контрольные суммы, зеркало и статус «ZIP готов»: невидимая защита каждой установки.

Каждая установка библиотеки — это скачивание чужого кода на ваш компьютер. Мы сделали этот процесс проверяемым на каждом шаге — так, чтобы об этом можно было не думать. Вот что происходит за кулисами каждой установки.

Шаг 1. Файл лежит на нашем зеркале

Архивы библиотек хранятся на зеркале Trema в России — а не тянутся при каждой установке с тысяч разных сайтов. Зеркало собирается из проверенных источников реестром libraries.trema.ru; статус «ZIP готов» в каталоге означает, что архив уже лежит у нас и скачается мгновенно.

Каталог библиотек: статус ZIP готов показывает, что архив проверен и лежит на зеркале — Зелёный статус «ZIP готов» — архив на зеркале, скачивание мгновенное и проверяемое.

Шаг 2. Контрольная сумма

У каждого архива есть цифровой отпечаток — контрольная сумма. При установке Trema IDE сверяет скачанный файл с отпечатком из каталога: файл повреждён при передаче или подменён — установка не пройдёт. Тот же принцип защищает установщики самой программы (SHA-256 на странице загрузки) и пакеты плат с зеркала.

Шаг 3. Установка — атомарная

Библиотека встаёт целиком или не встаёт вообще: оборванный интернет или выключенный компьютер не оставят «половину библиотеки», из-за которой всё загадочно глючит. Повторная установка всегда безопасна.

Шаг 4. В школе — ещё строже

В школьном режиме к этому добавляются запрет установочных скриптов пакетов и замок на источниках: на детские машины попадает только проверенное и только по доверенным каналам (см. «Безопасность установки в классе»).

Что это значит для вас

Ничего — и в этом смысл. Вы просто нажимаете «Установить», а цепочка «зеркало → сумма → атомарность» отрабатывает молча. Безопасность, которую видно, — это обычно неудобство; безопасность, которой не видно, — это инженерия. Мы за второй вариант.