---
title: "Pakete sicher verwenden | StudioMeyer Academy"
description: "Freigabe, Dateihashes, Installationspläne und Updates ohne Überschreiben Deiner Arbeit."
canonical: "https://studiomeyer.academy/entwickler/paketformat"
language: de
markdown_versions: ["https://studiomeyer.academy/entwickler/paketformat.md", "https://studiomeyer.academy/en/entwickler/paketformat.md", "https://studiomeyer.academy/es/entwickler/paketformat.md"]
publisher: "StudioMeyer Academy, https://studiomeyer.academy (llms.txt: https://studiomeyer.academy/llms.txt)"
---

## Erst Freigabe, dann Dateien

Der öffentliche Katalog freigegebener Installationspakete ist derzeit leer. Eine private Bibliothek ist keine öffentliche Paketquelle. Lizenzen werden nicht angenommen. Ohne ausdrücklich freigegebenes Paket gibt es nichts zu installieren.

Der Paketmechanismus liefert einen Installationsplan als JSON und führt selbst keine lokale Installation aus. GET /v1/me/installs listet getrackte Pläne und bestätigt nicht, dass Dateien auf Deinem Gerät installiert sind. Der Server kann Dein Dateisystem nicht sehen.

## Antwort und Lockfile

Die tatsächliche Antwort enthält status: plan, files und lockfile. Jede Datei trägt relativePath, content, sha256 und executable. Das Lockfile enthält schemaVersion: 1 und entries. Jeder Eintrag hat id, version, status, access, sha256, license, source und installedAt. access ist free oder premium; installedAt kann null sein. Das JSON-Schema ist maßgeblich, nicht ein älterer YAML-Entwurf.

```
{
  "status": "plan",
  "files": [],
  "lockfile": {
    "schemaVersion": 1,
    "entries": []
  }
}
```

- [JSON Schema](https://studiomeyer.academy/v1/schema/package.json)

## Status und Zustimmung

Nur active darf automatisch in einen beauftragten Plan aufgenommen werden. candidate braucht consentCandidate: true, draft braucht consentDraft: true und bleibt als Entwurf erkennbar. deprecated wird nicht installiert und verweist auf einen Nachfolger. Ausführbare Skripte brauchen separat consentScripts: true nach Sichtung. Premium erfordert zuvor die passende Freischaltung; das Lockfile selbst gewährt keine Rechte.

## Dateien beobachten, bevor Du ersetzt

Sende bei Update-Prüfungen lockfile und observedFiles mit Einträgen { id, relativePath, sha256: string | null }. Verwende den tatsächlichen SHA-256 jeder vorhandenen Datei und null für eine fehlende Datei. Der Dienst vergleicht diese Beobachtung mit freigegebenen historischen Dateisnapshots; nur ein Lockfile-Hash reicht nicht.

Nur vollständig beobachtete, unveränderte Dateien ergeben localChanges: false und verification: unchanged. Echte Abweichungen ergeben true/modified, fehlende Beobachtungen null/unverified. modified und unverified blockieren das Ersetzen. Zeige den Konflikt und hole eine gesonderte Entscheidung ein. Prüfe direkt vor jedem lokalen Schreiben alle Pfade und Hashes erneut, auch wenn der Server zuvor unchanged gemeldet hat.

## Sitemap

Öffentliche Seiten dieser Website als Markdown: [Sitemap](https://studiomeyer.academy/sitemap.md). Kuratierter Einstieg: [llms.txt](https://studiomeyer.academy/llms.txt), Volltext: [llms-full.txt](https://studiomeyer.academy/llms-full.txt).