Visual Studio Build Tools 17.14.42 fixed catalog: payload size and SHA-256 differ from channel metadata

我们在安装前核对 Visual Studio Build Tools 2022 的固定发布文件，遇到 channel 声明与 catalog 原始响应不一致的问题。希望确认权威原件及完整性校验约定。

固定版本为 17.14.42 / build 17.14.37806.7，来自微软固定发布历史。

• 固定 channel：VisualStudio.17.Release.chman。
• channel 中 Microsoft.VisualStudio.Manifests.VisualStudio 项指定的 catalog：VisualStudio.vsman。

对象原始字节数SHA-256保存的 channel 所声明的 catalog30,443,686a871a5ff41acebbe5037455fd6f51fcd4907b47d8f3c9860871ea0b222a2fd45原先取得的 catalog 响应17,954,77099dda859c4ae3c446eb25620d1a6237bb135d95d14d55cd1d30a15340bb39d802026-10-25 原生 curl 对照响应17,954,77099dda859c4ae3c446eb25620d1a6237bb135d95d14d55cd1d30a15340bb39d80最新对照使用系统自带 curl 8.13.0 / Schannel，固定上述 catalog URL、User-Agent: ASOS-ENV-INSTALL-01/1.0、Accept-Encoding: identity，保存响应体后直接计算长度和 SHA-256。此次是一个 GET、无重定向，HTTP 200，Content-Length: 17954770，未出现 Content-Encoding；curl exit 0、proxy_used=0、ssl_verify_result=0。

长度/哈希计算发生在 JSON 解析之前，两份 catalog 字节相同。上述结果只描述当前请求；我们尚未确定差异来自发布元数据、服务端表示或其他因素。

我们需要确认：

1. 该固定版本权威 catalog 原始文件应是哪组 size/SHA？是否有可核验的更正 channel 或重发说明？
2. channel 的 payload size/SHA 是否按原始下载字节定义？若服务端允许不同 JSON 表示，请提供相应官方规范及验证方式。
3. 清单内 sha256RSA_cng、signInfo、空 canonicalization 的签名覆盖范围/正文 digest 规则，以及时间戳 imprint 的绑定规则，是否有官方文档或受支持的验证工具说明？

补充调查只确认了内嵌公钥一致及时间戳 CMS 数学签名；JSON 正文绑定与微软信任链仍未验证，因此不能据此替代上述原始字节校验。