gnome: cerrar la frontera de xdg-desktop-portal en la cola GNOME

xdg-desktop-portal-gnome documentaba en prosa que le faltaba el frontend
genérico («la dep dura que falta»). La campaña COSMIC ya lo autoró y selló,
así que se copia a incoming-gnome/ junto con su dep fuse3 y se declara.

NO es cache-hit, y conviene dejarlo escrito: desde incoming-gnome el cierre
resuelve contra la glib de la isla dinámica en vez de la de COSMIC, así que
el ArtifactHash se mueve (f4adb8c9 -> db5e5cf8) y hay que construirlo. Es lo
correcto —backend y frontend tienen que compartir glib— y es el mismo patrón
ya medido con pipewire.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

recipes/incoming-gnome/fuse3.toml

@@ -0,0 +1,57 @@
+# fuse3 (libfuse 3.18.2) — el primer eslabón de LA CADENA DEL PORTAL, y no está acá por su función
+# sino porque `xdg-desktop-portal` lo pide con `dependency('fuse3', version: '>= 3.10.0')` sin
+# `required:`. El frontend lo usa para el *document portal*: un sistema de ficheros FUSE que expone
+# a cada aplicación sólo los ficheros que el usuario le concedió por el selector.
+#
+# No es negociable por opción de meson —el `dependency()` es incondicional— así que o está o el
+# frontend no configura.
+#
+# ── LO BARATO ────────────────────────────────────────────────────────────────────────────────────
+# libfuse no tiene deps duras: sus únicos `dependency()` son `liburing` y `numa`, ambos
+# `required: false`, más `threads`. Es meson y C plano.
+#
+# ── LO QUE SE APAGA, Y POR QUÉ ───────────────────────────────────────────────────────────────────
+# `useroot=false`     — el build normal hace `chown root` y pone el setuid en `fusermount3`. En el
+#                       sandbox no somos root y no hay a quién chownear; el bit se pone al armar la
+#                       imagen, no al construir el artefacto.
+# `examples=false`,
+# `tests=false`       — no se instalan y sólo suman superficie de compilación.
+# `disable-mtab=true` — esta base no tiene `/etc/mtab` (ni el `mount` de util-linux que lo escribe).
+# `initscriptdir=''`  — no hay sysvinit: el PID1 es arje-zero.
+# `enable-io-uring=false` — `liburing` no está en el corpus; con `required:false` meson lo saltearía
+#                       igual, pero dejarlo explícito hace que el artefacto no dependa de si la
+#                       librería aparece en el rootfs del constructor. Es la diferencia entre sellar
+#                       lo que quisimos y sellar lo que había.
+name    = "fuse3"
+version = "3.18.2"
+
+[source]
+tarball = "https://github.com/libfuse/libfuse/archive/fuse-3.18.2/libfuse-fuse-3.18.2.tar.gz"
+sha256  = "55a97cfd8661a9b42ff0123b44af52cac49feaec36987f4d968c046f93b42e1d"
+
+[build]
+compiler    = "zig-cc"
+target      = "x86_64-linux-musl"
+link        = "dynamic"
+zig_version = "0.13.0"
+
+[build.phases]
+# ⚠ **NO poner `-Ddisable-libc-symbol-version=true`, aunque suene a lo correcto para musl.** Lo
+# probé primero razonando que musl no implementa versionado de símbolos, y falla en el enlace con
+#     ld.lld: error: version script assignment of 'FUSE_3.0' to symbol 'fuse_loop_mt' failed:
+#             symbol not defined
+# La razón está en el propio meson de upstream: la opción sólo pone `versioned_symbols = 0`, que hace
+# que `lib/compat.c` NO emita los alias versionados… pero `lib/meson.build:54` pasa
+# `-Wl,--version-script` **incondicionalmente**. O sea que la opción deja el script pidiendo símbolos
+# que ya nadie define: es una combinación incoherente de upstream, no una limitación de musl.
+#
+# Y de paso quedó medido que la auto-detección de upstream **no conoce musl**: sólo apaga el
+# versionado para `__UCLIBC__` y `__APPLE__` (meson.build:214), así que en musl el valor por defecto
+# es 1 — que es con lo que Alpine construye libfuse y funciona: musl tolera `.symver`, simplemente
+# ignora las versiones en tiempo de ejecución. Se deja el DEFECTO.
+configure = "PKG_CONFIG_PATH=/usr/lib/pkgconfig:/usr/share/pkgconfig meson setup output --prefix=/usr --buildtype=release -Dexamples=false -Dtests=false -Duseroot=false -Ddisable-mtab=true -Dinitscriptdir= -Denable-io-uring=false"
+compile   = "ninja -C output"
+install   = "DESTDIR=/out ninja -C output install"
+
+[deps]
+build = ["meson", "samurai", "python3", "pkgconf"]

recipes/incoming-gnome/xdg-desktop-portal-gnome.toml

@@ -21,8 +21,12 @@ compile   = "PYTHONPATH=/usr/lib/python3.12/site-packages ninja -C output"
 install   = "PYTHONPATH=/usr/lib/python3.12/site-packages DESTDIR=/out meson install -C output --no-rebuild"
 
 # gtk4 + libadwaita (+ su cierre .pc) para la UI. glib para gio/dbus.
-# FRONTERA: xdg-desktop-portal sin receta — REQUERIDA (el frontend genérico; provee el .pc y los .xml
-#           de interfaces que este backend implementa). Es la dep dura que falta.
+# FRONTERA CERRADA (2026-08-06): `xdg-desktop-portal` ya tiene receta — la escribió la campaña COSMIC
+#           y se copió a esta cola junto con su dep `fuse3`. OJO, NO fue cache-hit: desde
+#           incoming-gnome el cierre resuelve contra la glib de la ISLA DINÁMICA en vez de la de
+#           COSMIC, así que el ArtifactHash cambia (f4adb8c9 → db5e5cf8) y hay que construirlo de
+#           nuevo. Es lo correcto, no un accidente: el backend y el frontend tienen que compartir
+#           la misma glib. Mismo patrón que ya se había medido con pipewire.
 # FRONTERA: gnome-desktop → ya en incoming-gnome/ (thumbnails/settings).
 [deps]
-build = ["meson", "samurai", "python3", "pkgconf", "gobject-introspection", "gsettings-desktop-schemas", "gnome-desktop", "gtk4", "libadwaita", "glib", "cairo", "pango", "graphene", "libepoxy", "wayland", "wayland-protocols", "libdrm", "harfbuzz", "fribidi", "libpng", "pixman", "freetype", "expat", "libffi", "pcre2", "zlib", "gdk-pixbuf", "libjpeg-turbo", "libtiff", "mesa", "fontconfig"]
+build = ["meson", "samurai", "python3", "pkgconf", "gobject-introspection", "gsettings-desktop-schemas", "gnome-desktop", "gtk4", "libadwaita", "glib", "cairo", "pango", "graphene", "libepoxy", "wayland", "wayland-protocols", "libdrm", "harfbuzz", "fribidi", "libpng", "pixman", "freetype", "expat", "libffi", "pcre2", "zlib", "gdk-pixbuf", "libjpeg-turbo", "libtiff", "mesa", "fontconfig", "xdg-desktop-portal"]

recipes/incoming-gnome/xdg-desktop-portal.toml

@@ -0,0 +1,100 @@
+# xdg-desktop-portal 1.18.4 — **EL FRONTEND**, y el eslabón que faltaba de verdad.
+#
+# ── POR QUÉ ESTE PAQUETE Y NO EL BACKEND ────────────────────────────────────────────────────────
+# `cosmic-screenshot` muere con
+#     The name org.freedesktop.portal.Desktop was not provided by any .service files
+# y la tentación es construir `xdg-desktop-portal-cosmic`. No alcanza: ese declara
+# `DBUS_NAME = "org.freedesktop.impl.portal.desktop.cosmic"` (`src/main.rs:27`), o sea que es
+# **backend** y NO toma el nombre que los clientes buscan. La cadena es de TRES:
+#     cliente → org.freedesktop.portal.Desktop → [este paquete] → org.freedesktop.impl.portal.* → backend
+# Éste es el que registra el nombre, enruta a los backends y aplica la política de permisos.
+#
+# ── POR QUÉ 1.18.4 Y NO LA ÚLTIMA (1.22.1) ──────────────────────────────────────────────────────
+# Por **gstreamer**. Desde la 1.20, `meson.build` pide
+# `dependency('gstreamer-pbutils-1.0')` sin `required:` —para validar sonidos de notificación—, y eso
+# arrastra gstreamer + gst-plugins-base, que no están en el corpus y son una torre de C entera para
+# una función accesoria. La 1.18.4 no lo pide: sus deps duras son glib/gio/gio-unix, json-glib,
+# fuse3, gdk-pixbuf y pipewire, y de ésas **la única que faltaba era fuse3**.
+# Es un pin deliberado, no una casualidad de versión: el día que se quiera 1.22 el precio es
+# gstreamer, y conviene que esté escrito acá.
+#
+# ── LO QUE SE APAGA ─────────────────────────────────────────────────────────────────────────────
+# `libportal`  — sólo lo usa el portal de «background»; es otra librería más y no hace falta.
+# `geoclue`    — no hay servicio de geolocalización en la imagen.
+# `systemd`    — el PID1 es arje-zero; sin unidades de usuario.
+# `sandboxed-image-validation` — valida miniaturas dentro de un `bwrap`; la imagen no trae bwrap.
+#                Apagarlo NO apaga la validación, la corre sin sandbox (upstream avisa con un
+#                `warning()`), que es lo que corresponde en una imagen donde el portal ya corre como
+#                el mismo usuario que las aplicaciones.
+# `docbook-docs`/`pytest` — documentación y tests.
+name    = "xdg-desktop-portal"
+version = "1.18.4"
+
+[source]
+tarball = "https://github.com/flatpak/xdg-desktop-portal/releases/download/1.18.4/xdg-desktop-portal-1.18.4.tar.xz"
+sha256  = "b858aa1e74e80c862790dbb912906e6eab8b1e4db9339cd759473af62b461e65"
+
+[build]
+compiler    = "zig-cc"
+target      = "x86_64-linux-musl"
+link        = "dynamic"
+zig_version = "0.13.0"
+
+[build.phases]
+# ── EL CHOQUE DE gvdb, Y POR QUÉ `--allow-multiple-definition` ACÁ ES CORRECTO Y NO UN PARCHE ───
+#     ld.lld: error: duplicate symbol: gvdb_table_get_table
+#     >>> document-portal/xdg-permission-store.p/gvdb_gvdb-reader.c.o
+#     >>> .._subprojects_gvdb_gvdb-reader.c.o in archive /usr/lib/libgio-2.0.a
+# El portal trae su copia vendorizada de gvdb en `document-portal/gvdb/`, y **glib también la lleva
+# adentro** (la usa para GSettings). Con glib DINÁMICA esos símbolos quedan escondidos dentro del
+# `.so` y nadie choca; con la ESTÁTICA el `.a` los expone y el enlazador ve dos definiciones. Es el
+# mismo fenómeno que hace «cara» a la glib estática.
+#
+# **Se resuelve RENOMBRANDO los diez símbolos del lector con `-D`**, que es lo que queda cuando se
+# descartan los otros dos caminos —y los dos se descartaron por medición, no por gusto:
+#
+#   · `-Wl,--allow-multiple-definition` (o `-z muldefs`): **zig-cc no lo acepta**. Falla con
+#     `error: unsupported linker arg: --allow-multiple-definition` durante el chequeo de cordura, y
+#     meson lo reporta como `ERROR: Compiler hammer-zig-cc cannot compile programs` — un mensaje que
+#     manda a buscar el problema en el compilador cuando está en la bandera. (De paso: pasarla por
+#     `-Dc_link_args=` tampoco sirve, porque las opciones de lista de meson se parten por COMAS y
+#     `-Wl,--allow-multiple-definition` llega como dos elementos.)
+#   · Ir a `glib-shared` **no sería cambiar una dep sino abrir una cadena**: json-glib y gdk-pixbuf
+#     también enlazan glib, y mezclar una glib dinámica con dos estáticas en el mismo proceso es
+#     justo el problema de las dos glib que la campaña GNOME midió y evitó. Habría que rehacer los
+#     tres y meter la glib compartida en la imagen.
+#
+# El renombrado es total y por eso es seguro: el `-D` afecta a la vez a la DEFINICIÓN
+# (`gvdb-reader.c`) y a los USOS, porque todos pasan por `gvdb-reader.h`. El binario queda con el par
+# lector+constructor de la copia del portal, coherente — que importa porque glib empaqueta
+# únicamente el LECTOR (para GSettings) y el CONSTRUCTOR (`gvdb-builder.c`) existe sólo acá.
+#
+# Va por `CFLAGS` y no por `-Dc_args=` por el mismo problema de las comas.
+#
+# El `sed` saca aparte `subdir('tests')`, que en 1.18.4 es INCONDICIONAL —no hay opción de meson que
+# lo apague— y compila binarios de prueba que no se instalan.
+#
+# Ojo con el `sed`: **borrar la línea a secas no basta**. En meson `subdir()` comparte el ámbito de
+# variables, y `tests/meson.build:276` define `enable_pytest`, que el `summary()` de la raíz lee en
+# `meson.build:201` — al sacar el `subdir` la configuración muere con
+# `ERROR: Unknown variable "enable_pytest"`. Por eso se SUSTITUYE por la asignación, en vez de
+# borrar: el subdirectorio no es sólo trabajo, también es una dependencia de datos.
+configure = '''
+rm -rf output
+sed -i "s/^subdir('tests')$/enable_pytest = false/" meson.build
+GVDB=""
+for s in table_free table_get_names table_get_raw_value table_get_table table_get_value \
+         table_has_value table_is_valid table_list table_new table_new_from_bytes; do
+  GVDB="$GVDB -Dgvdb_$s=xdp_gvdb_$s"
+done
+export CFLAGS="$GVDB"
+PKG_CONFIG_PATH=/usr/lib/pkgconfig:/usr/share/pkgconfig meson setup output --prefix=/usr --buildtype=release --wrap-mode=nodownload -Dlibportal=disabled -Dgeoclue=disabled -Dsystemd=disabled -Dsandboxed-image-validation=false -Ddocbook-docs=disabled -Dpytest=disabled -Dinstalled-tests=false
+'''
+compile   = "ninja -C output"
+install   = "DESTDIR=/out ninja -C output install"
+
+[deps]
+# glib aporta gio/gio-unix **y `gdbus-codegen`**, que el build usa para generar los stubs de las
+# ~20 interfaces de portal a partir de los XML de `data/`. libffi/pcre2/zlib son la clausura de
+# pkg-config que declara el `.pc` de glib; libpng la que declara el de gdk-pixbuf.
+build = ["meson", "samurai", "python3", "pkgconf", "glib", "json-glib", "fuse3", "gdk-pixbuf", "pipewire", "libffi", "pcre2", "zlib", "libpng"]