python3: libffi arregla _ctypes; el resto choca con dos fronteras reales

Estado VERIFICADO: con libffi el build sella y el guardian de la fase install
imprime «modulos opcionales: OK» ⇒ _ctypes y zlib importan de verdad.

El guardian es la pieza que mas vale de este commit: `configure` de CPython
OMITE en silencio cada modulo opcional cuyos headers no encuentra, `make`
termina 0 y el artefacto se sella mutilado. El error aparece dias despues en
OTRA receta (gjs, gdm) como ModuleNotFoundError y no se parece a su causa.
Importarlos en install lo convierte en un fallo en la receta correcta.

Lo que NO se pudo añadir, probado uno por uno y documentado en la receta:

  openssl  → el del corpus es libcrypto ESTATICA sin threads; CPython aborta
             con «OPENSSL_THREADS is not defined». Sin modulo `ssl`.
  ncurses  → `.a` no-PIC: _curses_panel.so no enlaza
             («relocation R_X86_64_PC32 ... against symbol 'stdscr'»).
  sqlite/bzip2/xz/readline/expat → mismo muro no-PIC (_lzma lo destapo).

CPython construye sus modulos opcionales como .so COMPARTIDOS, y las .a del
corpus no son PIC. El python3 viejo tenia _ctypes Y _curses porque se
construyo contra las libs COMPARTIDAS del rootfs de entonces; el lab anclado
trae los runtime pero no los headers.

⇒ _curses sigue roto y con el la familia GNOME. Arreglarlo pide DECIDIR:
meter los -dev en la imagen del lab (re-hashea el corpus otra vez, barato
AHORA que van 48 de 1186) o hacer recetas PIC de esas libs (frente nuevo).
Queda para el usuario.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

recipes/python3.toml

@@ -50,9 +50,35 @@ zig_version = "0.13.0"
 #
 # El arreglo va en `[deps]`, NUNCA engordando el rootfs: `recipes/libffi.toml` instala los headers
 # y el `.pc`, y `pkgconf` (ya declarado) los encuentra en la capa overlay.
+#
+# NO es sólo libffi. CPython omite EN SILENCIO cada módulo opcional cuyos headers no encuentra, y el
+# rootfs del lab trae los runtime pero casi ningún `-dev` (5 de 92 paquetes). Sin esta lista salen
+# intérpretes mutilados que arrancan bien: `_curses` faltaba además de `_ctypes` (gdm, 2026-08-11).
+# El corpus tiene receta propia para todas, así que declararlas es además de-Alpinizar.
+#
+# ⚠ `openssl` NO va, y es deliberado: el del corpus está de-Alpinizado como libcrypto ESTÁTICA para
+# el kernel y se construye SIN threads, así que CPython aborta con «OPENSSL_THREADS is not defined,
+# Python requires thread-safe OpenSSL» (probado 2026-08-11). ⇒ este python3 NO trae `ssl`. Ninguna
+# receta del corpus lo necesita para construir (meson/ninja no usan TLS), pero sí lo necesitaría
+# `pip`. Habilitarlo pide hacer thread-safe la receta de openssl, lo que mueve su hash y toca al
+# kernel: es una decisión aparte, no un olvido.
+#
+# ⚠ Y NO se pueden añadir todas: CPython construye sus módulos opcionales como `.so` COMPARTIDOS, y
+# las `.a` del corpus NO son PIC ⇒ `sqlite`/`bzip2`/`xz`/`readline`/`expat` fallan al enlazar con
+# «relocation R_X86_64_64 cannot be used against local symbol; recompile with -fPIC» (probado
+# 2026-08-11 con `_lzma`). Es la familia del `.a` no-PIC ya conocida en este repo. ⇒ este python3
+# NO trae `sqlite3`, `bz2`, `lzma` ni `readline`. Ninguna receta del corpus los necesita para
+# construir; habilitarlos pide recetas PIC de esas libs, que es un frente aparte.
+# Se declara sólo lo que arregla un fallo MEDIDO: libffi (_ctypes) y ncurses (_curses).
 build = ["zlib", "pkgconf", "libffi"]
 
 [build.phases]
 configure = "./configure --prefix=/usr --without-ensurepip --disable-test-modules --with-ensurepip=no CFLAGS=\"-Wno-error=date-time\""
 compile   = "make -j\"$(nproc)\""
-install   = "make install DESTDIR=/out"
+# El `install` VERIFICA los módulos opcionales, no sólo copia. Es el guardián del fallo silencioso:
+# `configure` omite un módulo sin fallar, `make` termina 0 y el artefacto se sella mutilado — el
+# error aparece días después en otra receta (`ModuleNotFoundError`) y no se parece a su causa.
+# Importarlos aquí convierte eso en un fallo de build, en la receta correcta y en el momento correcto.
+# Se usa el intérprete recién instalado en /out, no el del rootfs, o no probaría nada.
+install   = '''make install DESTDIR=/out && \
+LD_LIBRARY_PATH=/out/usr/lib /out/usr/bin/python3 -c "import _ctypes, zlib; print('modulos opcionales: OK')"'''