验证与晋级
晋级的对象是已经上传到最终位置并经过重新下载验证的候选版本，而不是构建机上的本地文件。清单发布必须晚于全部平台验证。
候选验证
对每个目标执行：
- 从候选渠道的最终 URL 下载实际字节。
- 验证 HTTP 结果、文件名、大小、平台和渠道。
- 重新计算 SHA-256，并验证 Ed25519 或平台签名。
- 在对应平台完成安装或启动冒烟检查。
- 将 URL、摘要、签名结果、时间和操作者写入发布证据。
晋级顺序
text
build and sign
upload immutable artifacts
re-download and verify every target
publish candidate manifest
observe candidate channel
approve Stable
publish Stable manifest last
如果产品使用不同渠道名称，原则不变：先验证不可变产物，再移动用户可见指针。
阻断条件
- 下载字节与本地候选不一致。
- 平台、架构、文件名或渠道字段不匹配。
- 任一必需平台缺失、签名失败或无法启动。
- 清单指向不存在、可变或缓存错误的对象。
- 验证证据包含未处理的秘密或个人数据。
回滚
停止新晋级并恢复上一个已验证的渠道清单。不要覆盖失败版本的不可变文件；修复后使用新版本重新构建和验证，并保留失败记录用于事件复盘。
相关页面
EvoX 文档 · 管理 · 发布管理