Rust පද්ධතියේ නවතම පසුබැසීමක් ගැන ඔබ දැනගෙන තිබේද? GitHub හි කේතය පරීක්ෂා කරන විට, cargo build ක්රියාවලිය crates.io වෙතින් බාගත කරන .crate ගොනුව භාවිතා කරයි. එම ගොනුව සහ GitHub හි පළවන මූලික කේතය එකම බවට කිසිඳු තහවුරු කිරීමක් නොමැති අතර, මේකෙන්ම Onering ප්රහාරය (June 2026) සිදු වුණා.
ඔහුන්, පළාත්කාරකය තුළ build.rs ගොනුවක් හුදෙක් ඇතුළත් කරමින්, GitHub හි ඉදිරිපත් කරන කේතය පිරිසිදු බව පෙනුමක් ලබා දුන්නා. නමුත් cargo build ක්රියාවලිය එම build.rs ක්රමලේඛය ක්රියාත්මක කර, අනිසි කේතයක් සංකලනය කරයි. මේ නිසා ආරක්ෂක පරීක්ෂකයන්ට කේතයේ අසත්යතාවක් හඳුනා ගැනීමට ඉතා අමාරු වුණා.
මෙම ගැටලුවට විසඳුමක් ලෙස cargo‑witness නව මෙවලම හඳුන්වා දී ඇත. මෙය crates.io වෙතින් බාගත කරන .crate ගොනුව අත්යවශ්යව ලබාගෙන, එය GitHub හෝ GitLab වැනි VCS වල පළවන සත්ය commit එකට සෘජුවම සසඳයි. භාවිතා කරන්නේ අතිශය ශක්තිමත් ඇන්කරයක් – Trusted Publishing හි OIDC‑තහවුරු කළ commit, නැතිනම් .cargo_vcs_info.json ගොනුවේ සටහන් කළ commit SHA‑1 – මෙයින් ගොනු සම්පුර්ණයෙන්ම එකසේදැයි පරීක්ෂා කරයි.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තාක්ෂණික ශිෂ්යයන්, ස්ථානීය සංවර්ධකයන් හා ආයතන සඳහා cargo‑witness ගුණාත්මක ප්රයෝජන කිහිපයක් ගෙන එයි:
- ආරක්ෂාකාරී සංවර්ධනය: දේශීය Rust පදනම් පද්ධතිවල භාවිතා කරන පුස්තකාලවල අසත්ය ගොනු හඳුනා ගැනීමට ඉක්මනින් සහ ස්වයංක්රියව පරීක්ෂා කළ හැකිය.
- ඉගෙනීමේ පරිසරය: සිසුන්ට open‑source ආරක්ෂාව පිළිබඳ ප්රායෝගික උදාහරණයක් ලබාදී, supply‑chain attacks ගැන අවධානය වැඩි කරයි.
- ව්යාපාරික විශ්වාසය: සොෆ්ට්වෙයා සපයන්නන්ට crates.io Trusted Publishing සමඟ එක්ව, ගනුදෙනුකරුවන්ට නිෂ්පාදනයේ පාරිභෝගිකත්වය සහ ආරක්ෂාව තහවුරු කර දෙයි.
- CI/CD සමඟ සම්පූර්ණ ඒකාබද්ධ කිරීම: GitHub Actions, GitLab CI වැනි පද්ධතිවල cargo‑witness ධාවනය කර, නවතම dependencies පරීක්ෂා කර build එක අසාර්ථක කර ගත හැක.
මෙම මෙවලම සදහා කිසිදු ගාණුකාර API යතුරක් අවශ්ය නොවේ; GitHub Token එකක් පමණක් rate‑limit වැඩි කිරීමට ප්රයෝජනවත්. එය නිතර ඩෙමන් සේවා, GitHub Action, හෝ දිනපතා ධාවනය වන daemon එකක් ලෙස භාවිතා කළ හැක.
cargo‑witness තවදුරටත් Rust ecosystem එකේ supply‑chain ආරක්ෂාව වැඩි දියුණු කිරීමේ අත්යවශ්ය පියවරක් වන අතර, Trusted Publishing සමඟ ඒකබද්ධ වීමෙන් පසු එය වැඩි වශයෙන් භාවිතා වනු ඇත.
