sombras: CERO — promover las 6 compartidas al corpus y barrer sus 16 copias

Las 6 que quedaban (fuse3, hwdata, icu4c, libdisplay-info, libelogind, lua) no tenían copia en
el corpus, así que borrar una habría roto su cola: la resolución es sibling-first y después el
catálogo PADRE, nunca una cola hermana. Se promueve una y se barren las 16.

Las 16 eran byte a byte IDÉNTICAS entre sí, con el mismo ArtifactHash — medido con 'hammer hash',
no deducido del nombre. Cada una la comparten entre 2 y 4 imágenes, que es exactamente el
criterio que dejó escrito xkeyboard-config al promoverse: lo que comparten varias imágenes tiene
que vivir en el corpus o no lo alcanzan.

A diferencia de aquella, acá las copias SÍ se barren en el mismo movimiento: sin copia en el
corpus no había dónde caer, y dejarlas sería mantener hasta 4 ficheros que son el mismo hash.

Verificado con la huella de las 1167 recetas antes y después:
  ficheros de receta   1167 → 1157   (16 borradas, 6 promovidas)
  hashes supervivientes  ninguno se movió ⇒ CERO rebuilds
  los cinco grafos       deuda 0, huérfanas [], sellados == recetas
  static-audit           MIENTEN 0 de 690
  duplicados             SOMBRAS REDUNDANTES: 0   ← de 14

⚠ Y una lectura que casi publico mal: mi primera comparación de hashes dijo 'CAMBIÓ ✗' en las
seis. Era el grep de la comparación, que no casaba y dejaba el valor 'antes' vacío — los hashes
nuevos eran idénticos a los medidos minutos antes. Un instrumento roto que grita es tan malo
como uno mudo.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014QPJteswQvP1L7zSBrQQe2

recipes/fuse3.toml

@@ -0,0 +1,67 @@
+# ══ PROMOVIDA AL CORPUS DESDE LAS COLAS (2026-09-08) ═══════════════════════════════════════════
+# Existía IDÉNTICA byte a byte en 2 colas de escritorio (cosmic,gnome), con el MISMO
+# ArtifactHash en todas — verificado con `hammer hash` antes de mover, no deducido del nombre.
+# Sube al corpus por la razón que ya escribió `xkeyboard-config`: una receta resuelve sibling-first
+# y después el catálogo PADRE, nunca una cola hermana, así que **lo que comparten varias imágenes
+# tiene que vivir acá o no lo alcanzan**. Aquí lo comparten 2.
+#
+# A diferencia de aquella, las copias de las colas SÍ se barren en el mismo movimiento: sin copia en
+# el corpus no había dónde caer, y dejarlas sería mantener 2 ficheros que son el mismo hash.
+# Cero rebuilds: el hash no se mueve, sólo cambia de dónde lo resuelve cada consumidor.
+# fuse3 (libfuse 3.18.2) — el primer eslabón de LA CADENA DEL PORTAL, y no está acá por su función
+# sino porque `xdg-desktop-portal` lo pide con `dependency('fuse3', version: '>= 3.10.0')` sin
+# `required:`. El frontend lo usa para el *document portal*: un sistema de ficheros FUSE que expone
+# a cada aplicación sólo los ficheros que el usuario le concedió por el selector.
+#
+# No es negociable por opción de meson —el `dependency()` es incondicional— así que o está o el
+# frontend no configura.
+#
+# ── LO BARATO ────────────────────────────────────────────────────────────────────────────────────
+# libfuse no tiene deps duras: sus únicos `dependency()` son `liburing` y `numa`, ambos
+# `required: false`, más `threads`. Es meson y C plano.
+#
+# ── LO QUE SE APAGA, Y POR QUÉ ───────────────────────────────────────────────────────────────────
+# `useroot=false`     — el build normal hace `chown root` y pone el setuid en `fusermount3`. En el
+#                       sandbox no somos root y no hay a quién chownear; el bit se pone al armar la
+#                       imagen, no al construir el artefacto.
+# `examples=false`,
+# `tests=false`       — no se instalan y sólo suman superficie de compilación.
+# `disable-mtab=true` — esta base no tiene `/etc/mtab` (ni el `mount` de util-linux que lo escribe).
+# `initscriptdir=''`  — no hay sysvinit: el PID1 es arje-zero.
+# `enable-io-uring=false` — `liburing` no está en el corpus; con `required:false` meson lo saltearía
+#                       igual, pero dejarlo explícito hace que el artefacto no dependa de si la
+#                       librería aparece en el rootfs del constructor. Es la diferencia entre sellar
+#                       lo que quisimos y sellar lo que había.
+name    = "fuse3"
+version = "3.18.2"
+
+[source]
+tarball = "https://github.com/libfuse/libfuse/archive/fuse-3.18.2/libfuse-fuse-3.18.2.tar.gz"
+sha256  = "55a97cfd8661a9b42ff0123b44af52cac49feaec36987f4d968c046f93b42e1d"
+
+[build]
+compiler    = "zig-cc"
+target      = "x86_64-linux-musl"
+link        = "dynamic"
+zig_version = "0.13.0"
+
+[build.phases]
+# ⚠ **NO poner `-Ddisable-libc-symbol-version=true`, aunque suene a lo correcto para musl.** Lo
+# probé primero razonando que musl no implementa versionado de símbolos, y falla en el enlace con
+#     ld.lld: error: version script assignment of 'FUSE_3.0' to symbol 'fuse_loop_mt' failed:
+#             symbol not defined
+# La razón está en el propio meson de upstream: la opción sólo pone `versioned_symbols = 0`, que hace
+# que `lib/compat.c` NO emita los alias versionados… pero `lib/meson.build:54` pasa
+# `-Wl,--version-script` **incondicionalmente**. O sea que la opción deja el script pidiendo símbolos
+# que ya nadie define: es una combinación incoherente de upstream, no una limitación de musl.
+#
+# Y de paso quedó medido que la auto-detección de upstream **no conoce musl**: sólo apaga el
+# versionado para `__UCLIBC__` y `__APPLE__` (meson.build:214), así que en musl el valor por defecto
+# es 1 — que es con lo que Alpine construye libfuse y funciona: musl tolera `.symver`, simplemente
+# ignora las versiones en tiempo de ejecución. Se deja el DEFECTO.
+configure = "PKG_CONFIG_PATH=/usr/lib/pkgconfig:/usr/share/pkgconfig meson setup output --prefix=/usr --buildtype=release -Dexamples=false -Dtests=false -Duseroot=false -Ddisable-mtab=true -Dinitscriptdir= -Denable-io-uring=false"
+compile   = "ninja -C output"
+install   = "DESTDIR=/out ninja -C output install"
+
+[deps]
+build = ["meson", "samurai", "python3", "pkgconf"]