feat: 优化客户端跨平台配置和运行态管理

Common/IntegrityHelper.cpp

@@ -26,8 +26,10 @@ bool IntegrityHelper::safeRelativePath(const QString& path) const
         && !clean.startsWith("../") && !clean.contains(":");
 }
 
-bool IntegrityHelper::runtimeProtectedPath(const QString& path) const
-{
+bool IntegrityHelper::runtimeProtectedPath(const QString& path) const
+{
+    // 这些文件属于 SDK 运行态，不参与业务版本文件的 Manifest 校验。
+    // 例如 app_config.json、client_identity.dat 会随安装机器变化，不能要求它们和发布包 hash 完全一致。
     const QString p = QDir::fromNativeSeparators(path).toCaseFolded();
     QSet<QString> protectedPaths{
         "bootstrap", "bootstrap.exe", "client.ini", "config/app_config.json", "config/local_state.json",
@@ -81,11 +83,13 @@ bool IntegrityHelper::verifySignature(const QByteArray& payload, const QString&
 #endif
 }
 
-bool IntegrityHelper::verifyInstalledVersion(const QString& appId, const QString& channel,
-                                             const QString& version)
-{
-    m_error.clear();
-    QString cachePath = QDir(ConfigHelper::instance().updateRoot()).filePath(
+bool IntegrityHelper::verifyInstalledVersion(const QString& appId, const QString& channel,
+                                             const QString& version)
+{
+    m_error.clear();
+    // Manifest cache 来自服务端发布版本时生成的签名清单。
+    // 客户端先验签 Manifest，再逐个校验文件 SHA256，防止升级文件被篡改或漏替换。
+    QString cachePath = QDir(ConfigHelper::instance().updateRoot()).filePath(
         "manifest_cache/manifest_" + version + ".json");
     const QString legacyCachePath = QDir(m_installDir).filePath(
         "update/manifest_cache/manifest_" + version + ".json");
@@ -132,9 +136,11 @@ bool IntegrityHelper::verifyInstalledVersion(const QString& appId, const QString
         if (suffix == "exe" || suffix == "dll") declaredExecutables.insert(path.toCaseFolded());
     }
 
-    QDir root(m_installDir);
-    QDirIterator it(m_installDir, QDir::Files, QDirIterator::Subdirectories);
-    while (it.hasNext()) {
+    QDir root(m_installDir);
+    QDirIterator it(m_installDir, QDir::Files, QDirIterator::Subdirectories);
+    // 除了清单中声明的文件，还要拒绝额外出现的 exe/dll。
+    // 这能降低被人偷偷塞插件或可执行文件的风险。
+    while (it.hasNext()) {
         const QString fullPath = it.next();
         const QString relative = QDir::fromNativeSeparators(root.relativeFilePath(fullPath));
         const QString folded = relative.toCaseFolded();