代码签名政策

本项目对发布产物进行签名并分发。免费代码签名由 SignPath.io 提供，证书由 SignPath Foundation 颁发。

01 签名范围

• 发布在 GitHub Releases 上的 Windows 安装包与可执行文件（.exe、.msi）。

02 构建与签名流程

• 所有产物均由公开仓库 zerx-lab/FluxDown 通过 GitHub Actions CI 构建。
• 只有 CI 构建的产物才会提交给 SignPath 签名。
• 私钥由 SignPath 保存在 HSM 中。本项目不存储、也无法访问该私钥。
• 每一次签名请求都需要维护者明确的人工审批。

03 团队角色

• 作者（拥有提交权限，无需额外审查即可修改仓库）：zerx-lab
• 审查者（所有外部 Pull Request 合并前均经过审查）：zerx-lab
• 审批者（每一次签名请求都需明确审批）：zerx-lab

04 其他平台

• macOS：产物目前未签名，请仅从官方 GitHub Releases 页面获取。参见 macOS Gatekeeper 说明。
• Linux：产物（AppImage / deb / Arch / 便携版）目前未做加密签名，请仅从官方 GitHub Releases 页面获取。

05 隐私政策

FluxDown 不会向其他联网系统传输任何信息，除非用户或安装、运行它的人明确要求（例如在 GitHub Releases 上检查更新）。完整内容请参阅隐私政策。