Dans ce cas, séparer directement la commande curl de bash afin d'auditer le script téléchargé. Le serveur peut être malhonnête et renvoyer différent contenu selon le User Agent de Curl ou d'un navigateur web.

Il est possible de détecter le curl | bash via une commande sleep.

L'auteur à une démo locale.

Faire confiance au projet pour livrer un script bash honnête revient aussi à faire confiance:

• au domaine
• au DNS
• à l’hébergement
• au CDN
• au compte GitHub
• aux secrets de CI/CD
• au pipeline de release
• aux dépendances
• aux mainteneurs actuels et futurs
• à l’absence de compromission au moment précis où vous exécutez la commande