Entwickle die fehlende Aktion.

Mit dem echten SDK starten

Pakete verwenden .NET 10 und referenzieren PowerTrove.Abstractions. Der öffentliche Quellcode enthält die Aktionsverträge und beispielhafte Manifestdateien. Das allgemeine Laden von Drittanbieter-Code gehört nicht zur ersten Alpha.

Das neue öffentliche Repository wird vorbereitet. Diese Anleitung bezieht sich auf dessen main-Branch und wird nach der ersten Quellcode-Veröffentlichung nutzbar.

git clone https://github.com/fgrzesiak/powertrove.git
cd powertrove

Ein kleiner, klarer Vertrag

• Implementiere Aktionen und eine Pack-Factory gegen das SDK; verwende stabile IDs mit Namensraum.
• Beschreibe Eingabetypen, Auswahlbedingungen, Vorschau, Parameter und benötigte Fähigkeiten.
• Halte Engines hinter Schnittstellen. Kopple ein Paket nicht an die Desktop-Oberfläche.
• Worker-Protokoll v1 akzeptiert Dateiauswahlen. Prüfe Hostversion, Windows-Architektur und Abhängigkeiten.
• Nutze ein v2-Manifest mit Payload-Inventar und SHA-256-Hashes. Berechtigungen sind Deklarationen; die aktuellen Worker bieten keine Berechtigungssandbox für fremden Code.

Auf die kuratierte Prüfung vorbereiten

Bereite einen festen Quellcode-Commit, Paket-ID, Version, Lizenz- und Abhängigkeitsinformationen, unterstützte Plattformen, angeforderte Fähigkeiten, Testergebnisse und Changelog vor. Beispiele und Screenshots sollten keine personenbezogenen Daten enthalten.

Das Publisher-Portal bereitet unveränderliche Kandidaten vor und kann Artefakte an eine separat eingerichtete private Quarantäne senden. Eingereichte Dateien werden niemals direkt als vertrauenswürdige Artefakte ausgeliefert. Vor der Signatur stehen Review, isolierte Build-Prüfungen und eine geschützte Freigabe.

Veröffentlichen bleibt eine eigene Vertrauensgrenze

Das Web-Backend erhält keinen produktiven Plugin-Signaturschlüssel. Ein geschützter Publisher überprüft unabhängig Quellcode, Build-Herkunft und unveränderliche Hashes, bevor er exakte Ausgabebytes signiert.

Der vorhandene Release-Builder führt beim Ermitteln von Metadaten Pack-Factories aus. Fremder Code darf dabei keinen Zugriff auf Signierzugangsdaten haben. Build und Metadatenextraktion bleiben vom finalen Signieren isoliert.

Ein späteres Publisher-Abzeichen bestätigt eine geprüfte Identität, nicht die Ungefährlichkeit eines Plugins.