作成・アップロードされたプラグインパッケージをバリデートする

[co3k]

作成・アップロードされたプラグインパッケージをバリデートしてから登録するようにする。

PEAR の通常のリリース手順では pear package-validate の実行を求めているので、これを透過的におこなうようにする。

ちなみにチャンネルが登録されていれば、自分でパッケージの検証をすることができる。

pear package-validate opMessagePlugin-0.9.2.1.tgz
Warning: Channel validator warning: field "date" - Release Date "2011-08-26" is not today
Warning: Channel validator warning: field "version" - A version number should have 3 decimals (x.y.z)
Validation: 0 error(s), 2 warning(s)

[co3k]

ファイルの欠如やハッシュ値の差異などは .tgz なプラグインパッケージに対して validate したとしてもうまく検知できない模様。

展開されたディレクトリに対しての validate はうまく動く。したがって、 Git や SVN 経由でのプラグインリリース時に package-validate 相当の処理を噛ませることはできる。

問題はプラグインパッケージを直接アップロードした場合にどうするか。

[co3k]

PEAR_PackageFile::fromAnyFile() に PEAR_VALIDATE_PACKAGING もしくは PEAR_VALIDATE_INSTALLING を指定した場合、ファイルが見つからないなどといったケースは検知するが、ファイルのハッシュが間違っている場合に検知しない。

[co3k]

状況整理

• package.xml に記録されたファイルパスとファイルのハッシュ値が実際のパッケージの中身と一致していないとインストールできないプラグインができる可能性がある
• plugins.openpne.jp で PEAR の力を借りておこなっている簡易的なバリデーションではこれらは検知できない
• しかし、バリデーションの精度を上げる（= パッケージングやインストール用のバリデーションもおこなう）ように変更した場合、ファイルパスの不一致は検知するがハッシュ値の不一致はなぜか検知しない