sylius-agent-skills — ein Digest, der nicht veraltet.

Ein konfigurierter Digest ist ab der ersten Textkorrektur falsch

Der SHA-256-Digest im Index wird über das tatsächlich ausgelieferte Dokument berechnet, nicht in einer Konfigurationsdatei hinterlegt. Ein hinterlegter Wert veraltet bei der ersten Textkorrektur an einem Skill — also bei genau der Art Änderung, die niemand als veröffentlichungsrelevant einstuft und deshalb niemand von einem Prüfsummen-Update begleitet.

Die Folge trägt der Client, und sie ist unangenehm: Er lädt einen völlig intakten Skill, vergleicht den Digest, findet eine Abweichung und verwirft ihn — korrekt nach Protokoll, denn eine Abweichung ist von außen nicht von Manipulation zu unterscheiden. Aus derselben Richtung kommt der zweite Schaden: Eine Integritätsprüfung, die regelmäßig ohne Anlass anschlägt, wird abgeschaltet, und danach schützt sie gar nichts mehr. Ein berechneter Digest kann nicht driften.

Ist kein Skill registriert, antwortet die Route unter /.well-known/agent-skills/index.json mit 404 statt mit einer leeren Liste. Eine leere Liste ist eine Aussage — sie sagt, dieser Shop führt einen Index und hat nichts darin. Der 404 sagt, was tatsächlich der Fall ist: Hier wird nichts angeboten. Ein Client kann daraufhin weitersuchen, statt ein leeres Ergebnis als endgültige Antwort zu speichern.