代码签名政策

Attribution · 署名

代码签名服务提供方

代码签名服务由 SignPath.io 免费提供，签名证书由 SignPath Foundation 颁发。

签名私钥由 SignPath 在其硬件安全模块（HSM）中生成与保管。 乐悠工作室无法直接接触私钥 —— 每一次签名都在 SignPath 的基础设施中完成， 并且需要授权团队成员显式批准。

Scope · 范围

我们签名的内容

本政策覆盖以下产物：

• Auctus Agent（Windows 版） — Auctus-Agent-win-standalone-v*.zip 中的 Windows 可执行文件，通过官方下载页分发。

macOS 版当前未签名。Apple Developer ID 签名将作为另一个独立工作项推进， 不在 SignPath Foundation 的覆盖范围内。

我们 只对自己构建的二进制文件签名，源代码来自我们自己的公开仓库； 不会对任何第三方二进制做重签名。

Team Roles · 团队角色

角色分配

Auctus Agent 当前为单人维护项目。SignPath 要求的三个角色均由同一人担任， SignPath Foundation 的条款允许小型项目这样做。 该维护者在 GitHub 与 SignPath 均开启了多因素认证（MFA）。

当有新维护者加入时，本页面会在变更后的 7 天内更新。

Build & Signing · 构建与签名

签名版本是如何产生的

已签名的发布版本只能由自动化 GitHub Actions 流水线产生。 任何在开发者本地机器上手工构建的产物都不会被签名。

1. 维护者向 github.com/ddjiang327/auctus-agent 的 main 分支推送形如 v0.1.x 的 Git tag。
2. GitHub Actions 在一台全新的 Windows runner 上运行 release workflow：检出该 tag 对应的 commit、安装声明的依赖、用 PyInstaller 构建独立打包版，产出未签名的 .exe。
3. 未签名的产物通过 SignPath 官方 signpath/github-action-submit-signing-request Action 上传到 SignPath。
4. 授权的批准人在 SignPath 后台核对构建元数据（commit SHA、workflow run URL、产物名称）后，显式批准本次签名请求。
5. SignPath 返回签名后的二进制。GitHub Actions 将其打包成发布版 ZIP，并上传到网站 /assets/downloads/ 路径。

完整的 workflow 文件位于公开仓库的 .github/workflows/release.yml，任何人都可以在 GitHub 上审阅。

Privacy · 隐私

隐私声明

本程序不会将任何信息传输到其他联网系统，除非用户主动发起请求。
（原文：This program will not transfer any information to other networked systems unless specifically requested by the user.）

Auctus Agent 完全运行在用户本地电脑上。默认情况下不会收集遥测、统计或崩溃报告。 只有在以下情况下才会产生网络请求：

• 用户主动选择连接托管的 Auctus API 并登录账号。
• 用户配置了第三方模型供应商（例如 OpenAI 兼容接口），Auctus Agent 会把用户的请求转发给该供应商。
• 用户主动触发版本检查。

安装包与启动器不会显示第三方广告，不会捆绑其他软件， 也不会在未经用户同意的情况下修改系统配置。 卸载方式：直接删除解压后的文件夹即可。

Verification · 验证

如何验证签名

下载完成后，运行前可以先验证签名是否有效：

Windows（PowerShell）：

有效签名会显示 Status: Valid，并且 SignerCertificate 由 SignPath Foundation 颁发。 如果状态不是 Valid，请不要运行该文件，并按下方联系方式反馈给我们。

也可以右键 .exe 文件 → 属性 → 数字签名 选项卡， 以图形界面查看完整证书链。

Contact · 联系

报告问题

如果你怀疑乐悠工作室的某个二进制文件被篡改、来自非官方渠道、或在未经授权的情况下被签名，请立刻联系我们：

• 邮箱：ruoya327@163.com
• GitHub：在 github.com/ddjiang327/auctus-agent/issues 提一个 issue。

关于 SignPath Foundation 证书被滥用的情况，也可以直接联系 SignPath： support@signpath.io。