Проверка дистрибутива по SHA-256 и манифесту

Проверьте источник и целостность

Скачивайте дистрибутив через предусмотренный канал своего аккаунта. Сравните SHA-256 файла с контрольной суммой конкретного релиза. Несовпадение означает, что проверяемые байты отличаются: не стоит устанавливать архив только потому, что имя версии выглядит правильным.

Хеш не объясняет происхождение программы сам по себе. Если архив и контрольная сумма взяты из одного непроверенного источника, злоумышленник может заменить оба. Поэтому важны и доверенный канал выдачи, и связанный с выпуском протокол.

Изучите состав

Покупательский архив строится по явному списку компонентов. В него входят ядро, админка, пользователи, содержимое, SEO, установщик и документация. Заказы разработчика, платёжные ключи, демонстрационная инфраструктура, дампы и тестовые учётные записи исключаются.

Манифест содержит относительные пути, размеры и хеши файлов. Например, новый неизвестный PHP-файл в исходниках блокирует сборку до классификации. Это лучше обнаруживает случайное включение коммерческого кода, чем копирование всей рабочей папки с несколькими исключениями.

Проверьте работоспособность

CRC ZIP и совпадение хешей доказывают целостность заявленного состава, но не корректность SQL или шаблонов. Для этого архив разворачивают в новый каталог и пустую БД, проходят установщик, вход, создание объекта, поля и загрузку медиа.

Повторная сборка одинаковых входных данных должна давать одинаковый состав и контрольную сумму. Любое последующее исправление меняет архив и требует новой проверки. Не считайте старый успешный отчёт подтверждением уже изменённого файла, даже если видимая версия в заголовке пока осталась прежней.

Продолжить работу

Проверьте процедуру на отдельной копии сайта. Сопоставьте задачу с возможностями ядра. Другой материал этого раздела: Миниатюры WebP и исходники фотографий.