v[VERSION] - [DATE]

v[VERSION] - [DATE]

Changes

• [变更 1]
• [变更 2]

Fixes

• [修复 1]

Security

• Dependencies updated

Known Issues

• [如有]

从 [prepare-release.yml](https://gitcode.com/GitHub_Trending/dr/drawio-desktop/blob/d1fa65d804e8ddaeb4919080aff90c307c15f609/.github/workflows/prepare-release.yml?utm_source=gitcode_repo_files) 第 166–181 行看，工作流实际生成的说明还包含各平台产物的下载链接、`Uses electron {ELECTRON_VERSION}` 一行，以及指向 draw.io 核心 ChangeLog 的条目（公共 tag 未就绪时自动替换为延迟链接说明）。

## 8. 证据保留

证据自动保留的位置与期限：

| 证据 | 位置 | 保留期 |
|----------|----------|-----------|
| Workflow 日志 | GitHub Actions | 90 天（GitHub 默认） |
| 审计 artifacts | Actions → Artifacts | 365 天（已配置） |
| Release 产物 | GitHub Releases | 永久 |
| Git tags/commits | 仓库 | 永久 |

需要更长期限审计时，将 artifacts 下载到安全存储。365 天保留期在 [prepare-release.yml](https://gitcode.com/GitHub_Trending/dr/drawio-desktop/blob/d1fa65d804e8ddaeb4919080aff90c307c15f609/.github/workflows/prepare-release.yml?utm_source=gitcode_repo_files) 的 `retention-days: 365` 中得到印证。

## 9. 失败处理

### 9.1 npm audit 失败（critical/high 漏洞）

1. 查看工作流 artifacts 中的 `audit-report.txt`；
2. 可选方案：
   - 本地执行 `npm audit fix`，提交后重跑工作流；
   - 若无法修复，评估风险并记录例外（当前工作流支持以 `override_audit=true` 重跑，覆盖操作会写入发布 PR 作为审计记录）；
   - 延迟发布，等待修复版本可用。

### 9.2 构建失败

1. 查看工作流日志定位错误；
2. 在代码库中修复问题；
3. 删除已推送的 tag：`git push --delete origin v{VERSION}`；
4. 重新运行 prepare-release 工作流。

### 9.3 子模块 ref 未找到

1. 确认目标 drawio tag/ref 存在于公共 drawio 仓库；
2. 用 `drawio_ref` 输入指定正确 ref——或留空保留当前子模块 pin（CI 构建工作流从 `drawio-dev` 取编辑器源码，不受公共 pin 滞后影响）。

## 10. 代码签名

Windows 与 macOS 构建在 CI 期间完成签名；Linux 产物不签名（除了 snap store 等分发渠道附加的签名）。

### 10.1 Windows — Azure Trusted Signing

Windows 二进制（NSIS 安装器、MSI、portable 包、内部 `.exe`）通过 Microsoft Azure Trusted Signing 签名。Microsoft 已将该服务更名为 "Artifact Signing"——同一产品，资源提供程序仍为 `Microsoft.CodeSigning`。集成通过自有的 electron-builder sign hook [build/sign-trusted.mjs](https://gitcode.com/GitHub_Trending/dr/drawio-desktop/blob/d1fa65d804e8ddaeb4919080aff90c307c15f609/build/sign-trusted.mjs?utm_source=gitcode_repo_files) 实现，由 [electron-builder-win.json](https://gitcode.com/GitHub_Trending/dr/drawio-desktop/blob/d1fa65d804e8ddaeb4919080aff90c307c15f609/electron-builder-win.json?utm_source=gitcode_repo_files) 与 [electron-builder-win-arm64.json](https://gitcode.com/GitHub_Trending/dr/drawio-desktop/blob/d1fa65d804e8ddaeb4919080aff90c307c15f609/electron-builder-win-arm64.json?utm_source=gitcode_repo_files) 中的 `win.signtoolOptions.sign` 调用。

从 [electron-builder-win.json](https://gitcode.com/GitHub_Trending/dr/drawio-desktop/blob/d1fa65d804e8ddaeb4919080aff90c307c15f609/electron-builder-win.json?utm_source=gitcode_repo_files) 第 16–22 行可以看到配置：

```json
"signtoolOptions": {
  "publisherName": ["JGraph Ltd", "draw.io Ltd"],
  "sign": "build/sign-trusted.mjs",
  "signingHashAlgorithms": ["sha256"]
}