Faltaban tres recetas cuya fuente es un repo, no un tarball: `fcft`, `foot` y `glab`. El commit
pineado cumple exactamente el mismo papel que el sha256 —es el árbol EXACTO que construimos— así que
la evidencia estaba igual de disponible, sólo que por otra puerta.
`miembros_de_git()` la abre sin clonar el árbol entero: `--depth 1 --filter=blob:limit=64k` sobre el
commit. Un COPYING nunca pasa de 64k y los fuentes donde vive la concesión tampoco; los que sí pasan
—binarios, assets— son justo los que no interesan. Un repo de cientos de megas se resuelve con unos
pocos. Las tres salieron del `license:` que el propio autor escribe en su `meson.build` (fcft, foot)
y del texto del LICENSE (glab).
Los repos por SSH se saltan diciéndolo: este script hace fetch anónimo y no tiene claves. Son
`hammerd` y `portal-probe`, y ya están resueltas por otra vía (su repo es este mismo).
`analizar()` pasa a consumir un iterable de `(ruta, bytes)` en vez de abrir el tar ella misma, así
que las dos fuentes comparten TODA la lógica de veredicto: la jerarquía de evidencia, la regla de
sólo-la-raíz, la unión de identificaciones y la exigencia de que la concesión hable de la misma
versión que el COPYING. Un criterio, dos puertas.
Y el script se renombra `licencias-tarball.py` → `licencias-fuente.py`, porque el nombre viejo pasó a
ser mentira en el momento en que aprendió a leer git. Un nombre que describe la implementación de
ayer manda a la gente a buscar en el sitio equivocado.
Los 3 ArtifactHash, idénticos antes y después.
Las tres estaban en deuda por TRES causas distintas, encadenadas de modo que cada una tapaba a la
siguiente:
1. libinput moría con "no suitable Python interpreter found", un mensaje de AUTOTOOLS siendo libinput
meson puro: el que fallaba era su dep `libevdev` (arreglado en el commit anterior declarando
make/python3).
2. Destapado eso, el muro real de libinput era
"relocation R_X86_64_32S ... recompile with -fPIC" apuntando a `libmtdev.a`: libinput enlaza ese
archivo estático DENTRO de libinput.so, y libtool sólo compila los objetos estáticos con -fPIC si
se lo pedís. `mtdev` ahora configura con `--with-pic`.
3. fcft y foot fallaban con sha256 mismatch: el `/archive/<tag>.tar.gz` de codeberg lo genera la
forge AL VUELO, así que sus bytes dependen de la versión de git/gzip del servidor. El pin se
murió solo cuando codeberg actualizó su tooling — no es corrupción: hoy baja de forma estable,
pero con OTRO hash (esperado c0d8d485…, real b0c0f4a5…). Re-pinear arreglaría hoy y volvería a
romperse; pasan a fuente GIT por commit, que es inmune (ADR 0006).
OJO: los dos tags son ANOTADOS ⇒ el sha que devuelve `git ls-remote <tag>` es el objeto tag, no
el commit. Van los `^{}`.
Verificado: las seis (libinput, fcft, foot, mtdev, libevdev, utf8proc) SELLADAS, y el binario de
foot es ELF dinámico con NEEDED = sólo libc.so, sin fugas del rootfs.
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Cierra el userland foundational: foot (terminal Wayland) + su cadena de libs → canónicas + repo
firmado. incoming-clib queda VACÍO (todo el base-system promovido). Front (d) COMPLETO a nivel build.
Sergio
sergioandClaude Opus 4.8