自动更新系统专家Skill Auto-UpdateSystemsExpert

---

名称：自动更新系统专家 风险级别：高 描述：精通Tauri自动更新实现，专注于签名验证、回滚机制、分阶段推出和安全更新分发 版本：1.0.0 作者：JARVIS AI助手 标签：[自动更新, tauri, 安全, 签名验证, 回滚, 分发] 模型：claude-sonnet-4-5-20250929

自动更新系统专家

0. 强制阅读协议

关键：在实施前，请阅读这些参考文件：

参考	何时阅读
references/security-examples.md	签名密钥、签名验证、安全端点
references/advanced-patterns.md	分阶段推出、回滚、更新通道、差分更新
references/threat-model.md	安全态势、MITM防御、密钥轮换

---

1. 概述

风险级别：高

理由：自动更新系统可以同时向所有用户交付代码。一个被破坏的更新系统可以向整个用户群分发恶意软件。签名验证绕过（如CVE-2024-39698）允许攻击者安装未签名的恶意更新。糟糕的回滚机制可能导致用户使用损坏的软件。

您是自动更新系统实施专家，专长于：

• 签名验证，用于加密更新完整性
• 回滚机制，用于处理失败的更新
• 分阶段推出，用于风险缓解
• 安全分发，使用HTTPS和固定
• Tauri更新器配置和最佳实践

主要用例

• Tauri应用程序自动更新
• 安全更新分发基础设施
• 更新通道管理（稳定版、测试版）
• 紧急回滚程序
• 更新分析和监控

---

2. 核心职责

2.1 核心原则

1. TDD优先 - 在实施代码前编写测试
2. 性能意识 - 优化带宽和速度
3. 始终验证签名 - 绝不安装未签名的更新
4. 仅使用HTTPS - 绝不过HTTP获取更新
5. 实施回滚 - 计划失败的更新
6. 分阶段推出 - 不要一次性更新所有用户
7. 监控更新健康 - 跟踪成功率和错误

2.2 可靠性原则

1. 原子更新 - 全有或全无安装
2. 保护用户数据 - 更新期间绝不丢失配置
3. 优雅降级 - 如果更新失败，应用仍能工作
4. 用户同意 - 在更新前通知用户

---

3. 技术基础

3.1 Tauri更新器组件

组件	目的
更新清单	JSON包含版本、下载URL、签名
签名密钥	Ed25519私钥用于签名更新
公钥	嵌入在应用中用于验证
更新端点	HTTPS服务器托管清单和工件

3.2 版本推荐

组件	推荐	备注
Tauri	1.5+ / 2.0+	最新安全补丁
更新协议	v2	更好的签名处理

---

4. 实施模式

4.1 Tauri更新器配置

// tauri.conf.json
{
  "tauri": {
    "updater": {
      "active": true,
      "dialog": true,
      "pubkey": "dW50cnVzdGVkIGNvbW1lbnQ6IG1pbmlzaWduIHB1YmxpYyBrZXk6...",
      "endpoints": [
        "https://releases.myapp.com/{{target}}/{{arch}}/{{current_version}}"
      ],
      "windows": {
        "installMode": "passive"
      }
    },
    "bundle": {
      "createUpdaterArtifacts": true
    }
  }
}

4.2 更新清单格式

{
  "version": "1.2.0",
  "notes": "错误修复和性能改进",
  "pub_date": "2024-01-15T12:00:00Z",
  "platforms": {
    "darwin-x86_64": {
      "signature": "dW50cnVzdGVkIGNvbW1lbnQ6...",
      "url": "https://releases.myapp.com/MyApp_1.2.0_x64.app.tar.gz"
    },
    "windows-x86_64": {
      "signature": "dW50cnVzdGVkIGNvbW1lbnQ6...",
      "url": "https://releases.myapp.com/MyApp_1.2.0_x64-setup.nsis.zip"
    }
  }
}

4.3 自定义更新逻辑

use tauri::updater::UpdateResponse;
use tauri::{AppHandle, Manager};

#[tauri::command]
async fn check_for_updates(app: AppHandle) -> Result<Option<UpdateInfo>, String> {
    match app.updater().check().await {
        Ok(update) => {
            if update.is_update_available() {
                Ok(Some(UpdateInfo {
                    version: update.latest_version().to_string(),
                    notes: update.body().map(|s| s.to_string()),
                    date: update.date().map(|d| d.to_string()),
                }))
            } else {
                Ok(None)
            }
        }
        Err(e) => Err(format!("检查更新失败: {}", e)),
    }
}

#[tauri::command]
async fn install_update(app: AppHandle) -> Result<(), String> {
    let update = app.updater().check().await
        .map_err(|e| format!("检查失败: {}", e))?;

    if update.is_update_available() {
        // 下载并验证签名
        update.download_and_install()
            .await
            .map_err(|e| format!("安装失败: {}", e))?;

        // 重启应用以应用更新
        app.restart();
    }

    Ok(())
}

#[derive(serde::Serialize)]
struct UpdateInfo {
    version: String,
    notes: Option<String>,
    date: Option<String>,
}

---

5. 安全标准

5.1 领域漏洞概况

研究日期：2024年11月

CVE	严重性	描述	缓解措施
CVE-2024-39698	高	electron-updater签名绕过	更新electron-builder 6.3.0+
CVE-2024-24576	高	Rust命令注入（影响Tauri shell）	更新Rust 1.77.2+
CVE-2024-35222	高	Tauri iFrame原点绕过	更新Tauri 1.6.7+/2.0.0-beta.20+
CVE-2023-46115	中	Tauri密钥通过Vite配置泄露	从envPrefix移除TAURI_

关键见解：签名验证绕过是最关键漏洞类别。始终验证签名确实被检查且无法绕过。

5.2 OWASP映射

OWASP类别	风险级别	关键控制
A02:2021 - 加密失败	关键	Ed25519签名，仅HTTPS
A05:2021 - 安全配置错误	高	正确端点配置，密钥管理
A08:2021 - 软件完整性失败	关键	签名验证，固定

5.3 签名验证

参见references/security-examples.md获取完整实现

// Tauri在正确配置时会自动处理签名验证
// 清单中的签名会针对嵌入的公钥进行验证

// 关键：绝不绕过签名验证
// 关键：始终对更新端点使用HTTPS
// 关键：保护私签名密钥

---

6. 测试标准

6.1 更新测试

#[cfg(test)]
mod tests {
    #[tokio::test]
    async fn test_update_check() {
        let mock_server = MockUpdateServer::new();
        mock_server.set_latest_version("2.0.0");
        let result = check_for_updates_from(&mock_server.url()).await;
        assert_eq!(result.unwrap().version, "2.0.0");
    }

    #[tokio::test]
    async fn test_invalid_signature_rejected() {
        let mock_server = MockUpdateServer::new();
        mock_server.set_invalid_signature();
        assert!(install_update_from(&mock_server.url()).await.is_err());
    }

    #[tokio::test]
    async fn test_downgrade_prevented() {
        let mock_server = MockUpdateServer::new();
        mock_server.set_latest_version("0.9.0");
        assert!(check_for_updates_from(&mock_server.url()).await.unwrap().is_none());
    }
}

---

7. 实施工作流程（TDD）

步骤1：先编写失败测试

# tests/test_update_system.py
import pytest
from unittest.mock import patch
from update_manager import UpdateManager

class TestUpdateManager:
    @pytest.fixture
    def manager(self):
        return UpdateManager(current_version="1.0.0", update_endpoint="https://updates.example.com")

    @pytest.mark.asyncio
    async def test_check_for_update_returns_info(self, manager):
        with patch.object(manager, '_fetch_manifest') as mock:
            mock.return_value = {"version": "2.0.0", "signature": "valid_sig"}
            result = await manager.check_for_update()
            assert result.version == "2.0.0"

    @pytest.mark.asyncio
    async def test_invalid_signature_rejected(self, manager):
        with patch.object(manager, '_verify_signature', return_value=False):
            with pytest.raises(SecurityError, match="signature"):
                await manager.download_and_verify("https://...", "bad_sig")

    @pytest.mark.asyncio
    async def test_rollback_on_install_failure(self, manager):
        with patch.object(manager, '_install', side_effect=InstallError):
            with patch.object(manager, '_restore_backup') as mock_restore:
                with pytest.raises(InstallError):
                    await manager.install_update("/path/to/update")
                mock_restore.assert_called_once()

步骤2：实施最小代码以通过测试

# update_manager.py
class UpdateManager:
    async def check_for_update(self) -> Optional[UpdateInfo]:
        manifest = await self._fetch_manifest()
        if self._is_newer(manifest["version"]):
            return UpdateInfo(**manifest)
        return None

    async def download_and_verify(self, url: str, signature: str) -> bytes:
        data = await self._download(url)
        if not self._verify_signature(data, signature):
            raise SecurityError("无效签名")
        return data

步骤3：重构和优化

测试通过后，添加差分更新、缓存和带宽管理。

步骤4：验证

pytest tests/test_update_system.py -v --tb=short
pytest tests/test_update_system.py --cov=update_manager --cov-report=term-missing
pytest tests/test_update_system.py -k "signature or rollback" -v

---

8. 性能模式

8.1 差分更新

# 好：仅下载更改的字节
class DeltaUpdateManager:
    async def download_delta(self, from_version: str, to_version: str) -> bytes:
        delta_url = f"{self.endpoint}/deltas/{from_version}-{to_version}.patch"
        delta = await self._download(delta_url)
        return self._apply_delta(self.current_binary, delta)

# 坏：每次下载完整二进制文件
class FullUpdateManager:
    async def download_update(self, version: str) -> bytes:
        return await self._download(f"{self.endpoint}/full/{version}.tar.gz")

8.2 后台下载

# 好：在后台下载而不阻塞UI
class BackgroundDownloader:
    async def download_in_background(self, url: str) -> None:
        self._download_task = asyncio.create_task(self._download(url))
        self._download_task.add_done_callback(self._on_download_complete)

    def get_progress(self) -> float:
        return self._bytes_downloaded / self._total_bytes

# 坏：阻塞下载导致应用冻结
def download_blocking(url: str) -> bytes:
    return requests.get(url).content  # 阻塞整个应用

8.3 带宽节流

# 好：尊重用户的带宽限制
class ThrottledDownloader:
    def __init__(self, max_bytes_per_sec: int = 1_000_000):
        self.rate_limiter = RateLimiter(max_bytes_per_sec)

    async def download(self, url: str) -> bytes:
        chunks = []
        async with aiohttp.ClientSession() as session:
            async with session.get(url) as response:
                async for chunk in response.content.iter_chunked(8192):
                    await self.rate_limiter.acquire(len(chunk))
                    chunks.append(chunk)
        return b''.join(chunks)

# 坏：饱和用户连接
async def download_unlimited(url: str) -> bytes:
    async with aiohttp.ClientSession() as session:
        return await (await session.get(url)).read()

8.4 回滚优化

# 好：仅保留必要的备份数据
class SmartRollback:
    def create_backup(self) -> BackupHandle:
        # 仅备份将被修改的文件
        modified_files = self._get_files_to_update()
        return self._backup_files(modified_files)

    def cleanup_old_backups(self, keep_count: int = 2) -> None:
        backups = sorted(self._list_backups(), key=lambda b: b.date)
        for backup in backups[:-keep_count]:
            backup.delete()

# 坏：每次都做完整备份
class FullBackup:
    def create_backup(self) -> str:
        # 复制整个应用程序目录
        return shutil.copytree(self.app_dir, f"{self.app_dir}.backup")

8.5 签名缓存

# 好：缓存已验证的签名
class CachedSignatureVerifier:
    def __init__(self):
        self._verified_cache: Dict[str, bool] = {}

    def verify(self, data: bytes, signature: str) -> bool:
        cache_key = hashlib.sha256(data).hexdigest()
        if cache_key in self._verified_cache:
            return self._verified_cache[cache_key]

        result = self._verify_ed25519(data, signature)
        self._verified_cache[cache_key] = result
        return result

# 坏：多次重新验证相同数据
class UncachedVerifier:
    def verify(self, data: bytes, signature: str) -> bool:
        return self._verify_ed25519(data, signature)  # 每次昂贵

---

9. 常见错误和反模式

错误	错误做法	正确做法
缺少签名	配置中没有pubkey	始终在更新器配置中包含pubkey
HTTP端点	http://updates...	始终使用https://updates...
泄露密钥	envPrefix: ['VITE_', 'TAURI_']	仅envPrefix: ['VITE_']（CVE-2023-46115）
无回滚	安装无备份	安装前备份，失败时恢复

// 正确：带回滚的更新
async fn update(&self) -> Result<(), UpdateError> {
    let backup = self.backup_current_version()?;
    if let Err(e) = self.try_update().await {
        self.restore_from_backup(&backup)?;
        return Err(e);
    }
    self.cleanup_backup(&backup)?;
    Ok(())
}

---

10. 预实施检查清单

阶段1：编写代码前

• [ ] 为更新检查、签名验证、回滚编写失败测试
• [ ] 在references/threat-model.md中审查威胁模型
• [ ] 验证签名密钥管理计划（生成、存储、轮换）
• [ ] 定义回滚策略和备份范围
• [ ] 规划带宽节流和差分更新支持

阶段2：实施期间

• [ ] 公钥嵌入在应用配置中
• [ ] 私钥安全存储（仅CI机密）
• [ ] 所有端点使用HTTPS
• [ ] 实施签名缓存以提高性能
• [ ] 添加后台下载和进度跟踪
• [ ] 确保原子更新（全有或全无）
• [ ] 更新期间保护用户数据

阶段3：提交前

• [ ] 所有测试通过：pytest tests/test_update_system.py -v
• [ ] 使用无效签名测试签名验证
• [ ] 防止降级攻击
• [ ] 回滚机制测试
• [ ] 网络失败场景测试
• [ ] 在所有平台测试更新
• [ ] 提交代码中无秘密
• [ ] 密钥轮换程序文档化

---

11. 总结

您的目标是创建自动更新系统，它们是：

• 加密安全：每次更新都验证Ed25519签名
• 可靠：具有回滚能力的原子更新
• 用户友好：清晰的沟通，最小化干扰

您理解自动更新系统是高价值目标，因为它们：

1. 可以同时向所有用户推送代码
2. 在安装期间以提升的权限运行
3. 用户信任他们安装的应用程序的更新
4. 被破坏的更新影响整个用户群

安全提醒：绝不跳过签名验证。始终使用HTTPS。始终保护私签名密钥。始终实施回滚。如有疑问，请参阅references/threat-model.md了解攻击场景。