sergioandClaude Opus 4.8
435ea66956
De las 4, sólo 2 eran mentiras reales. Las otras 2 eran ARTEFACTOS RANCIOS: el audit hace
`ls -dt store/*-<n>` = el sellado MÁS RECIENTE, que no es el VIGENTE (hammer no expone el hash de
una receta sin construirla — no hay 'hammer hash' ni dry-run). Con el store desactualizado, el
audit acusa a recetas ya sanas. El propio script lo advierte ('correr DESPUÉS del rebuild, nunca
antes') y aun así la lista del frente se armó sin re-sellar. => el '11 mienten' está INFLADO;
hay que re-sellar antes de asumir que cada una necesita fix.
pcre2 — mentira real de libtool. NEEDED libz.so.1+libc.so → 0. -all-static en compile Y install.
pcre2grep 10.47 corre y matchea de verdad ('foo bar' con 'b(a|o)r').
libcap — mentira real, pero la causa NO era libtool: Makefile plano, -all-static no aplica.
progs/Makefile ASIGNA `LDFLAGS = -Wl,-Bstatic` + sufijo `-Wl,-Bdynamic`, y una asignación del
makefile PISA el LDFLAGS=-static del lab. El comentario de upstream admite que su default es
'estático contra libcap.a, DINÁMICO contra libc'. Fix = LIBCSTATIC=yes, la palanca que upstream
expone justo para esto (la usa su kdebug/test-kernel.sh) ⇒ rama con `LDFLAGS = --static` sin
sufijo. NO se pasa LDFLAGS por línea de comando: pisaría la rama y devolvería el sufijo.
NEEDED=0; capsh/getcap/setcap corren y getpcaps devuelve caps reales.
dbus — no mentía. Construye con MESON, no libtool ⇒ el agujero no existe acá. Ya tenía
--prefer-static -Ddefault_library=static: libdbus-1.a, cero .so, todos los binarios NEEDED=0.
Verificado end-to-end: dbus-run-session levantó un daemon estático y dbus-send ListNames obtuvo
method return. Sólo se documentó.
libnl — no mentía. Ya tenía --disable-shared --enable-static --disable-cli: 0 .so, 6 .a, sin
ejecutables (es el 'sin ELF: 1' del audit, esperado). libnl-3.a válido con nl_connect/
nl_socket_alloc como T. Sólo se documentó.
LECCIÓN: -all-static no es la única causa. Hay paquetes que pisan LDFLAGS por asignación de
makefile (libcap) y otros que ya están bien. Hay que LEER el Makefile, no aplicar el patrón a ciegas.
Van 9 de 11 (2 eran falsos positivos).
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
50 lines
3.1 KiB
TOML
50 lines
3.1 KiB
TOML
# libcap 2.78 — dependencia de build de bwrap (pieza 4 del toolchain hammer-from-source, SDD 11 §7.2b).
|
|
#
|
|
# bubblewrap usa libcap para soltar/levantar capabilities al armar el sandbox; su `bubblewrap.c` hace
|
|
# `#include <sys/capability.h>` y llama `cap_*`. El toolchain Alpine trae el .so runtime pero NO el
|
|
# -dev (ni `sys/capability.h` ni `libcap.a`), así que para compilar bwrap estático necesitamos libcap
|
|
# construido por hammer y materializado en el sandbox (ver deps.build de bwrap.toml + sandbox.rs).
|
|
#
|
|
# A diferencia de linux-headers, libcap NO necesita casar byte-a-byte con la de Alpine: es una pieza
|
|
# del TOOLCHAIN (se enlaza dentro de bwrap, una herramienta), no un input del 4/4. Cualquier libcap
|
|
# funcional sirve mientras bwrap aísle igual. Por eso sin patches de Alpine: build vainilla y listo.
|
|
#
|
|
# Build estático musl con zig cc. libcap usa un Makefile plano (no autotools): hay que pasar los
|
|
# overrides de toolchain por línea de comando y apagar lo que pide deps ausentes:
|
|
# GOLANG=no — sin bindings Go (no hay go en el sandbox).
|
|
# PAM_CAP=no — sin el módulo PAM (no hay libpam).
|
|
# SHARED=no — sólo estático; no generamos .so (bwrap linkea libcap.a).
|
|
# BUILD_CC — el compilador HOST para los toolitos generadores (_makenames/mkconst); zig cc igual.
|
|
|
|
name = "libcap"
|
|
version = "2.78"
|
|
|
|
[source]
|
|
tarball = "https://mirrors.edge.kernel.org/pub/linux/libs/security/linux-privs/libcap2/libcap-2.78.tar.gz"
|
|
sha256 = "2a2c705e382c413643a458b837575c0eb0989477ab6fb99c87adbe9a259612ad"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "static"
|
|
|
|
[deps]
|
|
build = ["make"]
|
|
|
|
[build.phases]
|
|
# El árbol de libcap detecta como BuildSys::Make ⇒ el compile/install por defecto no pasa los
|
|
# overrides de toolchain ni las flags GOLANG/PAM. Override explícito de ambas fases.
|
|
#
|
|
# ESTÁTICO DE VERDAD (2026-07-17, frente link-static-mentira-libtool):
|
|
# libcap NO usa libtool (Makefile plano) ⇒ `-all-static` (flag exclusivo de libtool) no aplica acá.
|
|
# La mentira tenía otra causa: `progs/Makefile` **ASIGNA** `LDFLAGS = -Wl,-Bstatic` con sufijo
|
|
# `-Wl,-Bdynamic`, y una asignación en el makefile PISA el `LDFLAGS=-static` que el lab exporta por
|
|
# `link="static"`. Ese default de upstream significa "estático contra libcap.a del árbol, DINÁMICO
|
|
# contra libc" (lo dice su propio comentario) ⇒ capsh/getcap/setcap salían con NEEDED libc.so — la
|
|
# musl que zig bundlea, 255B de linker script en el host ⇒ no corrían fuera del sandbox.
|
|
# LIBCSTATIC=yes — la palanca que upstream expone justo para esto: entra en la rama que hace
|
|
# `LDFLAGS = --static` sin sufijo -Bdynamic (la usa su propio kdebug/test-kernel.sh).
|
|
# No pasamos LDFLAGS por línea de comando: eso pisaría la rama entera y volvería a dejar el sufijo.
|
|
compile = "make CC='zig cc -mcpu=baseline' BUILD_CC='zig cc -mcpu=baseline' AR='zig ar' RANLIB='zig ranlib' OBJCOPY='zig objcopy' GOLANG=no PAM_CAP=no SHARED=no LIBCSTATIC=yes lib=lib"
|
|
install = "make CC='zig cc -mcpu=baseline' BUILD_CC='zig cc -mcpu=baseline' AR='zig ar' RANLIB='zig ranlib' OBJCOPY='zig objcopy' GOLANG=no PAM_CAP=no SHARED=no LIBCSTATIC=yes lib=lib prefix=/usr DESTDIR=/out install"
|