kit

Gestore di registry di strumenti -- gestisce le toolchain di sviluppo da registry basati su git, basato su mise.

Cos'è

kit risolve le versioni degli strumenti su più registry, genera la configurazione di mise, verifica i checksum SHA-256 rispetto agli artifact di rilascio dell'editore, verifica le firme cosign dove gli editori firmano binari puri e automatizza il tracciamento degli aggiornamenti upstream tramite un'architettura CI a tre pipeline.

Avvio

Installazione

Se non hai ancora Rust, il percorso più rapido è mise:

mise use --global rust
cargo install nomograph-kit

Oppure usa rustup:

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh
cargo install nomograph-kit

Il binario si chiama kit.

Avvio rapido

kit setup --registry https://gitlab.com/your/registry.git
kit sync
kit status

Comandi

Registri

Un registro è un repository git con definizioni TOML per strumento:

tools/
  _meta.toml        # registry metadata + merge policy
  gh.toml           # one file per tool
  muxr.toml
  ...

Ogni definizione di strumento è autonoma:

[tool]
name = "gh"
source = "github"
repo = "cli/cli"
version = "2.89.0"
tag_prefix = "v"
bin = "gh"
tier = "high"
aqua = "cli/cli"

[tool.assets]
macos-arm64 = "gh_{version}_macOS_arm64.zip"
linux-x64 = "gh_{version}_linux_amd64.tar.gz"

[tool.checksum]
file = "gh_{version}_checksums.txt"
format = "sha256"

[tool.signature]
method = "github-attestation"

Fonti: github, gitlab, npm, crates, direct, rustup, brew

La fonte brew delega l'installazione al backend brew: di mise (nessun CLI brew locale richiesto in CI). kit traccia le versioni tramite l'API formulae.brew.sh ed emette voci name = "brew:<formula>@<version>" in mise.toml.

kit add intelligente interroga upstream e popola automaticamente:

kit add jq jqlang/jq              # GitHub
kit add muxr nomograph/muxr --gitlab  # GitLab (resolves project_id)
kit add claude-code --npm @anthropic-ai/claude-code
kit add cargo-nextest --crates
kit add chafa --brew              # Homebrew formula (formula defaults to tool name)
kit add go121 --brew [email protected]     # Homebrew formula with explicit formula name

Livelli di fiducia

Ogni strumento ha un livello che controlla la politica di unione:

I livelli sono impostati per strumento nella definizione TOML. Il _meta.toml del registro definisce quali livelli si uniscono automaticamente:

[policy]
auto_merge_tiers = ["own", "low"]
auto_merge_bump = ["patch", "minor"]
auto_merge_requires_checksum = true

Multi-registro

Configura più registri in ~/.config/kit/config.toml. Il primo registro vince quando gli strumenti si sovrappongono. Le fissazioni locali prevalgono.

[[registry]]
name = "nomograph"
url = "https://gitlab.com/nomograph/kits.git"

[[registry]]
name = "personal"
url = "https://gitlab.com/you/kits.git"

Separa i registri per confine di fiducia. Ad esempio, tieni i tuoi strumenti in un registro e gli strumenti di terze parti in un altro. Ogni registro ha la propria pipeline, politica di unione e cadenza di aggiornamento.

Locale al progetto

kit scopre kit.toml risalendo dalla directory di lavoro. Quando trovato, gli strumenti sono limitati a quel progetto:

• .kit.lock accanto a kit.toml (committato in git)
• .mise.toml unito con marcatori # kit:begin / # kit:end
• Gli strumenti utente al di fuori dei marcatori non vengono mai toccati

Pipeline CI

kit alimenta un'architettura di supply chain a tre pipeline tramite il componente CI kit-registry:

include:
  - component: gitlab.com/nomograph/pipeline/kit-registry@v3
    inputs:
      kit_version: "0.10.1"
      mr_assignee: "andunn"

Sense (pianificato, sola lettura)

kit sense interroga le release upstream, scarica gli asset, verifica i checksum e controlla i database di advisory. Classifica ogni risultato per rischio (livello di incremento, livello di fiducia, stato checksum). Non fallisce mai sulla deriva delle versioni -- la deriva è ciò che rileva.

Evaluate (dopo sense)

kit evaluate applica regole deterministiche (approva automaticamente patch pulite, rifiuta discrepanze di checksum) e opzionalmente invoca un LLM per casi limite (incrementi major, checksum mancanti, advisory).

Apply (dopo evaluate)

kit apply aggiorna i file TOML degli strumenti su disco e partiziona gli aggiornamenti in due gruppi per idoneità all'unione automatica:

• auto_merge_group -- aggiornamenti idonei secondo la politica del registro (livello giusto, incremento giusto, checksum verificati)
• review_group -- tutto il resto (livello sbagliato, incrementi major, segnalati dal valutatore, checksum non verificati)

Il componente CI crea un branch e una MR separati per ogni gruppo. La MR di auto-unione si unisce da sola dopo che la pipeline di verifica passa. La MR di revisione rimane aperta per la revisione umana.

Verify (su MR)

kit verify-registry riconvalida tutte le definizioni degli strumenti e riverifica i checksum. Viene eseguito su ogni MR come gate di unione.

Sicurezza

Cosa kit fa effettivamente sul percorso di verifica:

• Validazione input: tutti i campi validati secondo pattern regex rigorosi
• Prevenzione iniezione TOML: configurazione mise costruita tramite API toml_edit
• Rilevamento modifica checksum stessa versione: arresto immediato
• Conferma migrazione registro: impedisce lo scambio silenzioso tra registri
• Verifica Cosign: corrispondenza identità certificato ancorata (solo asset binari puri; gli archivi ricadono sui checksum)
• Restrizione URL registro: solo https:// e git@
• Rifiuto symlink: i registri malevoli non possono uscire dalla directory tools/
• Solo HTTPS: tutti i client HTTP impongono TLS

Cosa kit non fa: verifica checksum out-of-band (i checksum vengono recuperati dalla stessa release dell'asset), verifica firma del contenuto dell'archivio o sostituzione della revisione umana per i livelli che si uniscono automaticamente.

Ritirato il 2026-06-16

kit è ritirato, sostituito da mise (jdx/mise). I pin degli strumenti ora vivono in mise.toml versionato + un mise.lock committato (sha256 per piattaforma + provenienza): la baseline di macchina in dunn.dev/harness, configurazioni per estate (es. nomograph/keaton). Gli aggiornamenti fluiscono tramite Renovate (con un customManager per i backend gitlab:) + un audit di provenienza CI sulle differenze di mise.lock — l'intento di installatore verificato + auto-bump di kit, su un host stabile. Record di migrazione: nomograph/keaton -> campaigns/harness/sessions/baseline.md (2026-06-16).

Licenza

MIT -- Nomograph