一键安装背后发生了什么？ArtCraft Launcher 平台匹配与 SHA-256 安全校验机制深度解析

ArtCraft Launcher 是一款纯 Rust 编写的 Craft 应用套件启动器，帮你一键安装、更新和打开PhotoCraft、LightCraft、FilmCraft 等全部 Craft 应用。但当你点击「安装」按钮的那一刻，后台到底发生了什么？它如何为不同电脑选对安装包？又如何保证下载的文件没被篡改？本文将拆解「一键安装」背后的平台匹配算法与SHA-256 安全校验机制，帮你看懂这个看似简单、实则相当严谨的安装流程。

先认识界面：一眼看懂「一键安装」长什么样

打开 ArtCraft Launcher，你会看到一张「应用清单」：每个 Craft 应用占一个卡片，标着图标、状态（已安装 / 可安装 / 有更新）、版本号、发布日期，以及一个醒目的**「安装」或「更新到 x.x.x」按钮**。

顶部有一排筛选标签：全部、已安装、有更新、未安装，右上角还能一键「全部更新」。点一下「安装」，界面进入下载中→校验→安装中的状态流转——而这短短几秒，正是本文要拆解的核心。

💡 网格视图与表格视图随时可切换。表格视图把「已装版本 / 最新版本 / 发布日期」排成列，适合快速对比哪些应用需要更新。

接下来我们从「选文件」和「验文件」两条主线，把这个流程拆开看。

平台匹配：为「这台电脑」选对安装包

为什么需要「平台匹配」

每个 Craft 应用都会为不同系统、不同 CPU 架构单独打包。一台 Apple 芯片的 Mac 和一台 Windows 笔记本，拿到手必须是完全不一样的文件。平台匹配要回答的就是一个问题：「我该怎么下载？」

所有发布文件都遵循一套统一的命名规范：

<应用名>-<版本>-<系统>-<架构>[-portable].<扩展名>

举几个真实例子：

启动器只需把文件名「读懂」，就能判断它属于哪个系统、哪种架构、什么格式。这套解析逻辑在 platform.rs 里实现。

匹配算法：先比「格式」，再比「架构」

核心选择函数是pick_asset，它的策略非常清晰（见 platform.rs）：

1. 先看格式优先级：每种系统都有一个「最合适的安装包格式」偏好列表，见default_kinds（platform.rs）。
2. 格式内再比架构 token：同一格式下，按「原生架构优先、可回退到模拟架构」的顺序尝试。

各系统的首选格式大致如下：

架构匹配是「能原生就跑原生，没有才回退」。以 Windows 为例（tokens，见 platform.rs）：

• x64 电脑：先找windows-x64，没有才退而求其次用windows-x86。
• ARM 电脑：依次尝试windows-arm64→windows-x64→windows-x86（通过模拟运行）。

而 Linux 则严格匹配架构：x86_64机器绝不会误装aarch64的文件——宁可「装不上」，也不给错包。这一点有专门的测试保证（见 platform.rs）。

🔑 一句话总结平台匹配：格式决定「怎么装」，架构决定「能不能跑」。启动器把两者按优先级组合，挑出最贴合当前机器的那一个文件。

SHA-256 校验：给下载文件「验明正身」

什么是 SHA-256，为什么重要

SHA-256是一种「数字指纹」算法：任何一个文件，无论多大，都能算出一串固定 64 位的十六进制字符串。文件哪怕只改动 1 个字节，指纹就会完全变脸。

这意味着：发布方公布一个指纹，你下载后自己算一遍，对得上 = 文件分毫未动，对不上 = 文件在传输途中被改动（或被中间人篡改）。这正是「一键安装」敢让你放心点下去的底气。

校验和从哪来？三个来源，层层兜底

ArtCraft Launcher 会尽量为每个下载文件找到官方公布的 SHA-256。来源有三个：

1. 发布页自带的摘要：每个文件可直接携带sha256摘要字段；
2. SHA256SUMS.txt：发布时随包附带的一份「校验清单」，逐行列出每个文件的指纹；
3. ArtCraft 发布源（feed）：由官方服务端代查 GitHub 后统一返回。

这份清单的格式（见解析函数parse_sha256sums，release.rs）长这样：

8a5edab2…0f1 photocraft-0.5.0-macos-universal.dmg 8a5edab2…0f1 photocraft-0.5.0-windows-x64.msi

启动器还会顺手做一次「格式体检」：指纹必须是规整的 64 位十六进制，文件名不能含路径分隔符或控制字符（valid_file_name，见 release.rs）——防止任何「看起来像清单、实则有猫腻」的内容混进来。

最硬核的一条规则：没有校验和，就不装

这是整个设计里最值得记住的一点。下载函数（download，install.rs）在真正开始下载之前，就先把校验和找出来：

• 找到了 → 正常下载；
• 找不到 → 直接拒绝安装，并提示「该发布没有公布此文件的校验和，无法校验，故未安装」。

⚠️ 这意味着：一个没有官方指纹背书的文件，启动器绝不替你装进电脑。宁可让你多等一会儿，也不接受一个「没人担保」的文件。

同样，如果校验清单存在却拉取失败（比如网络抖动），启动器会把它当作错误处理，而不是悄悄跳过校验——网络问题永远不会让安全门槛降级。

下载过程：边下边验，断了能续传，错了重下

真正下载文件的工作在 http.rs 完成，它把「健壮」做到了极致：

1. 续传（HTTP Range）

网络中断时，文件不会从头再来。启动器用Range请求从断点接着下，并以 1s → 2s → 4s… 递增的退避自动重连。下载暂停时，已下的部分会被保留在临时文件里（.part），下次直接续上。

2. 下载完再「验一遍」

文件下完，启动器对它现算 SHA-256，与官方指纹比对（matches_published+sha256_file，见 http.rs、http.rs）：

• 对得上→ 落盘，进入「校验中」阶段；
• 对不上→ 先删掉，从零重新下一次（可能是代理拼接了旧数据）；
• 再对不上→ 明确报错「下载内容与公布的校验和不符，未安装」，绝不将就。

3. 已经验过的，不重复下

如果上一次已经下载并验证通过的文件还在，启动器直接复用，跳过重复传输——省流量，也更稳。

还有一道「保险」：macOS 额外验签名

对 macOS 用户，光有文件指纹还不够。启动器在安装前还会做双重身份确认（见 install.rs）：

1. 代码签名：校验.app是否由官方开发者（固定团队 ID）签名，防止「文件没错，但里面塞了别的东西」；
2. 版本一致性：确认包内应用版本与本次发布版本一致。

任何一项不符，绝不替换已安装的应用。

🛡️ 所以，ArtCraft Launcher 的安全模型是「三道防线」：文件名体检 → SHA-256 内容指纹 → （macOS）开发者签名。层层把关，任何一环不通过都停手。

发布信息从哪来：feed 优先，GitHub 兜底

顺带一提，启动器「知道最新版本」这件事本身也有讲究（见 source.rs 与 feed.rs）：

• 首选 ArtCraft 发布源（feed）：由官方服务端代查，一次请求覆盖全部应用，避免频繁打扰 GitHub；
• 兜底 GitHub：feed 没覆盖到、或信息过期（超过 24 小时）时，再回落到直接查询；
• 最省额度的路径：连 API 配额用尽时，靠「最新版本重定向 +SHA256SUMS.txt」这条不耗配额的路线拿全信息。

无论走哪条路，下载链接都必须指向应用自己的官方发布页，校验和、链接、文件名三者相互印证——这也是为什么「来源可信」是整套校验机制能成立的前提。

小结：一键安装 = 平台匹配 + SHA-256 校验

回到开头的「安装」按钮，现在你应该能看懂它背后那条完整链路：

1. 定位平台：确定「这台电脑」的操作系统 + CPU 架构；
2. 挑选文件：按「格式优先级 × 架构 token（原生优先、可回退）」挑出最合适的安装包；
3. 找校验和：从摘要、SHA256SUMS.txt或 feed 三处取官方指纹；取不到就拒绝安装；
4. 稳健下载：断点续传、自动重连，下完现算 SHA-256 比对；不符重下，再不符报错；
5. 额外把关：macOS 再验开发者签名与版本一致性；
6. 落位安装：一切通过，才把文件放到系统约定位置，旧版在新版就位前绝不移除。

看似只是「点一下」，实则平台匹配保证了「装得对」，SHA-256 校验保证了「装得放心」。对新手来说，你不需要懂这些细节；但对关心安全的用户，这套机制正是「一键安装」值得信任的全部理由。

📂想深挖源码？平台匹配看 crates/core/src/platform.rs，校验与解析看 crates/core/src/release.rs，下载与 SHA-256 比对看 crates/native/src/http.rs，安装主流程看 crates/native/src/install.rs。