[Mercurrial]

Что изменено и зачем

Подготовка к бесплатной подписи кода через SignPath Foundation, чтобы Windows SmartScreen перестал показывать предупреждение о неизвестном издателе. SignPath подписывает только файлы, собранные GitHub Actions из этого репозитория, поэтому файлы выпуска для Windows теперь собираются там, а не локально.

• .github/workflows/build.yml, новое задание windows:

  • тесты на Windows;
  • сборка программ (build_installer.py --portable --only programs);
  • запрос на подпись программ в SignPath;
  • сборка установщика уже из подписанных файлов (--only installer);
  • тихая установка «только для меня» и проверка, что программа работает через 20 с;
  • запрос на подпись установщика;
  • проверка подписей.

  Подпись включается переменной репозитория SIGNPATH_ORGANIZATION_ID. Без неё задание собирает те же файлы без подписи.

• tools/build_installer.py: опция --only programs|installer, чтобы между этапами подписать файлы. По умолчанию всё работает как раньше.

• tools/release.py: в выпуск загружаются Windows-файлы из сборки GitHub Actions (dist/ci/windows/…). Тест обновлён.

• installer/signpath/: две конфигурации артефактов для SignPath (programs.xml, installer.xml) и пошаговая инструкция: заявка, настройка SignPath и GitHub, пробный запуск, выпуск версии.

• docs/code-signing.md (+ .en.md): политика подписи кода, которую SignPath требует на сайте проекта. В ней — что подписывается, роли, как проверить подпись, конфиденциальность (единственный сетевой запрос, который программа делает сама, — проверка обновлений). Страница добавлена в меню «Помощь», ссылки на неё — в README, SECURITY.md и CHANGELOG.

• ARCHITECTURE.md и engineering-notes: описание новой сборки и причины решений.

• Отдельный коммит fix(update): updater.start_detached передавал Windows-флаг creationflags и на Linux/macOS, где Popen отвечает на него ValueError. Из-за этого с 3af3ad5 на main падали 4 теста фоновой установки.

Тексты про SmartScreen в README, установке и решении проблем не менялись: они остаются верными, пока не вышел первый подписанный выпуск (см. раздел 6 инструкции).

Как проверено

• python -m pytest проходит полностью (с исправлением start_detached)
• тест скрипта выпуска обновлён: проверяет, что в выпуск загружаются файлы из сборки GitHub Actions
• mkdocs build --strict проходит, страница code-signing собирается на обоих языках
• задание windows проверено запуском build на этой ветке (run 40310343939): тесты на Windows, сборка, установка, запуск через 20 с и артефакт windows прошли; шаги подписи пропущены, пока SignPath не подключён
• заметное для пользователя изменение описано в разделе «Не выпущено» в CHANGELOG.md

🤖 Generated with Claude Code

https://claude.ai/code/session_01Xm2TjWChGFxTMcXbxuvAaQ

[Mercurrial]

Проверка tests / ubuntu-latest красная, но не из-за этого PR. На main она красная начиная с 3af3ad5 (feat(update): updates install in the background). Падают те же 4 теста:

• test_side_by_side.py::test_a_background_update_ends_with_the_rail_button
• test_side_by_side.py::test_a_failed_background_install_says_so
• test_side_by_side.py::test_the_card_installs_and_turns_into_restart
• test_updater.py::test_an_automatic_offer_waits_for_the_first_launch_guide

Причина. core/updater.py → start_detached() передаёт в subprocess.Popen аргумент creationflags. На Linux и macOS Popen отвечает на него ValueError: creationflags is only supported on Windows platforms. Блок except OSError эту ошибку не ловит, поэтому фоновая установка в тестах так и не стартует. В рабочей программе это не проявляется: сборки для Linux и macOS обновляются через страницу выпуска и start_detached не вызывают.

Готового исправления пока нет. Предлагаю такой патч (проверил локально: весь набор тестов проходит):

     kw = dict(stdin=subprocess.DEVNULL, stdout=subprocess.DEVNULL,
               stderr=subprocess.DEVNULL, close_fds=True, env=child_env())
+    if sys.platform != "win32":
+        # creationflags is Windows-only (Popen raises ValueError elsewhere).
+        return subprocess.Popen(args, start_new_session=True, **kw)
     try:
         return subprocess.Popen(args, creationflags=flags | 0x01000000, **kw)

В этот PR патч не добавляю, чтобы не смешивать задачи. Если нужно, оформлю его отдельным коммитом здесь или отдельным PR.

---

Generated by Claude Code