sergio/takana
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
2ecce583e59c6996355b7e96aa55c12d70496af1
takana/recipes/atuq.toml
T
Sergio c214438f00 atuq: el torrent lo toma un daemon propio, perezoso, que sobrevive al navegador 
El 6.9 del SDD 26, con la arquitectura que pidió el operador: daemon PROPIO,
CONFIGURABLE y PEREZOSO. Vivaldi ya trae torrent y termina en una carpeta; acá lo que
baja entra al CAS —un objeto BLAKE3 con la misma identidad que una descarga del
navegador (§6.2) o un `.swm`—, y ésa es la razón por la que esto vale.

    página de la extensión → fondo → connectNative → puriy-costura
      → /usr/bin/puriy-costura-torrent add   (que LEVANTA el daemon si no está)
      → daemon: librqbit, y al completarse, el CAS

POR QUÉ NO ES UN VERBO MÁS DEL HOST — dos razones, y la primera decide:
1. una descarga tiene que sobrevivir al navegador, y Gecko mata al host cuando se
   cierra el puerto (medido hoy);
2. librqbit + tokio + rustls son 226 crates: dentro del host, ese binario —952 K,
   compartido por CINCO extensiones— pasaría a ~20 MB y cada iteración de cualquier
   función del navegador a un cuarto de hora.

⚠ Que esa pila COMPILA para musl con zig-cc se midió ANTES de decidir, con una receta
desechable: 226 crates y sella. Era una incógnita real —ninguna receta del corpus
había construido tokio+rustls desde tawasuyu— así que la decisión no fue «no se
puede», fue «no ahí». El artefacto del daemon pesa 7,7 M.

PEREZOSO EN LOS DOS SENTIDOS: no hay servicio en la imagen (el binario está y no corre
hasta que hay un torrent; lo levanta su cliente con `setsid`, sin lo cual moriría con
el navegador) y se va solo tras `inactividad_seg` sin nada activo — sembrar cuenta como
actividad.

CONFIGURABLE: TOML opcional; sin fichero anda, y uno ROTO es error. El CAS por defecto
es el del host, con un test que falla si esas raíces se separan.

LO QUE EL GUARDIÁN NO HACE, Y POR QUÉ (está en su cabecera y en el §6.9):
· no usa un `magnet:` sino un `.torrent` servido por HTTP —dar de alta un magnet
  BLOQUEA esperando metadata que sin peers no llega: se mediría un timeout y no la
  cadena—. El `.torrent` se arma en el propio guardián, en bencode a mano, porque un
  binario de prueba en el repo es una dependencia que nadie revisa;
· no pasa por el despacho de protocolos de Gecko: un clic en `magnet:` abre el diálogo
  de «¿con qué lo abro?», que en headless no contesta nadie, y eso es una elección del
  usuario y no código nuestro. Se abre la página de la extensión —la misma que el
  handler abriría— descubriendo su URL base del `dump` de una primera corrida, porque
  el UUID lo asigna Gecko por perfil y adivinarlo sería inventar.

El control negativo saca el cliente del daemon de la imagen y exige que el host lo diga
NOMBRANDO lo que falta, en vez de fingir que lo tomó.

⚠ Y sigue sin haber test automático de un transfer REAL entre peers: haría falta un
sembrador y una espera que volverían la suite una que nadie corre. Dicho en el test del
daemon y en el §6.9, para que nadie lo lea como «probado de punta a punta».

La página de la extensión NO valida la forma del origen: la valida el host, que es
quien decide qué le pasa al daemon. Tener esa regla escrita dos veces es tenerla
mintiendo el día que una cambie.

Del §6 quedan el foco (6.5) y la IA local (6.7), ésta bloqueada por algo medido: el
corpus no tiene ninguna receta de LLM ni de embeddings.

MEDIDO sobre `atuq b3:d1a444ad`, `puriy-costura b3:cad5c855` y
`puriy-costura-torrent b3:76afb7a8` (7,8 M):

    MAGNET http://…/prueba.torrent
    TOMADO prueba-atuq.bin · nuevo · en /salida/hogar/Downloads · id=0
    socket del daemon: run/puriy-costura-torrent.sock      ← nadie lo arrancó

⚠ Y DOS COSAS QUE EL GUARDIÁN DESTAPÓ, las dos por comprobar el NOMBRE y no sólo que
la respuesta llegara:

1. **la extensión leía claves que el daemon no manda** (`name`/`files`/`bytes` contra
   `nombre`/`carpeta`), y el síntoma era «TOMADO — 0 fichero(s), 0 bytes»: parecía un
   torrent vacío y era un vocabulario inventado del lado del lector — la misma trampa
   que había evitado en el host y no acá;
2. mirándolo apareció que **el socket y la config del daemon estaban en castellano**, y
   la regla 7 de tawasuyu nombra explícitamente las claves de configuración entre lo
   que se tipea. Corregido allá antes de que llegara a ninguna imagen: un protocolo y
   un fichero de config son contrato, y renombrarlos después rompe lo que alguien ya
   escribió.

tawasuyu: 4f36f057 (el crate) · 3f69aab2 (lock) · 3b56db26 (el verbo del host) ·
066b3761 (el log del daemon, que faltaba y hacía invisible su único fallo de arranque)
· ca9947b9 (las claves en inglés).
2026-09-10 20:45:53 +00:00

193 lines
14 KiB
TOML
Raw Blame History

# atuq 0.1.0 — el navegador de la distro, como ARTEFACTO DERIVADO de firefox.
#
# ══ POR QUÉ DERIVADO Y NO UN FORK DE FUENTE ════════════════════════════════════════════════════
# Zen —el fork de Firefox al que esto reemplaza en nuestro catálogo— parchea el árbol de Gecko y
# recompila. Nosotros no distribuimos un binario: sellamos artefactos. Entonces atuq puede DEPENDER
# de `firefox` y poner su capa encima, y eso cambia el precio de todo:
# · una iteración de chrome cuesta SEGUNDOS, no las cuatro horas de un build de Gecko;
# · no mueve el `ArtifactHash` de `firefox` ⇒ el corpus no se invalida;
# · las CVE se heredan gratis: cuando sube `firefox`, atuq se reconstruye solo.
# El razonamiento completo, con lo que se promete y lo que NO (spoiler: no habrá «modo Tor»), está
# en `docs/26-atuq-envoltorio-gecko.md`.
#
# ══ SU FUENTE ES ESTE REPO ═════════════════════════════════════════════════════════════════════
# `source.dir` es el modo de fuente que se agregó para esto (takana-core/src/recipe.rs): el árbol
# vive en `recipes/atuq/` y se hashea por CONTENIDO con `ArtifactHash::of_tree`, igual que ya se
# hacía con los `patches`. No hay commit que pinear y no hay fetch: editar un CSS mueve el hash.
#
# ══ v0.2: EL BRANDING VIVE DENTRO DEL ZIP ══════════════════════════════════════════════════════
# La v0.1 dejó el branding fuera porque había que mirar el árbol real antes de adivinar. Ya se miró,
# y lo que se encontró decide la forma de esta versión:
#
# · `application.ini` del appdir arranca con el comentario «This file is not used». Es HERENCIA
# del árbol de desarrollo: en un build empaquetado el launcher SÍ lo lee. `rebrand.py` no le
# cree al comentario, comprueba que las claves estén y falla si no.
# · Las cadenas que la gente VE están dentro de `browser/omni.ja` (`brand.ftl`), así que sin
# re-empacar el zip no hay branding posible. Y el original dice **Nightly**, no «Firefox»,
# porque construimos con `--with-branding=browser/branding/unofficial`.
# · Los ICONOS, en cambio, están FUERA del zip (`browser/chrome/icons/default/`) ⇒ se reemplazan
# sin tocarlo.
# · `browser/omni.ja` son 56 MB con TODAS sus entradas sin comprimir y con `date_time` ya
# normalizado a 2010-01-01: Mozilla también persigue reproducibilidad. El re-empaque preserva
# orden, método y fecha — el orden porque es el que Gecko lee al arrancar, y es lo que el
# `jarlog` del PGO refinará cuando exista.
# ══ v0.5: PROXY POR CONTENEDOR (SDD 26 §6.8) ═══════════════════════════════════════════════════
# El primer DIFERENCIADOR de la lista del §6 que se paga entero acá, sin depender del host de
# native messaging (§7) ni de nada de tawasuyu: es API de Firefox y nada más. Cada contenedor
# —Personal, Trabajo, Banco, Compras— puede salir por su propio proxy.
#
# Son tres piezas y ninguna alcanza sola:
# · `atuq.cfg` prende los contenedores (`privacy.userContext.enabled`), que vienen apagados;
# · `distribution/policies.json` los CREA con `Containers.Default` —el único mecanismo que los
# pone en un perfil nuevo— y deja la config de fábrica del proxy en `3rdparty.Extensions`;
# · `extensions/proxy/` los enruta con `proxy.onRequest`, que es lo único que ve el
# `cookieStoreId` de la petición.
#
# Las tres se comprobaron DENTRO del artefacto de firefox antes de escribirlas, no en la
# documentación de Mozilla: `Containers` y `3rdparty` están en el `policies-schema.json` de
# `browser/omni.ja`, y `cookieStoreId` en el `schemas/proxy.json` de `omni.ja`. Es la regla que dejó
# el §2.sexies: cuando la duda es «¿existe esto en NUESTRO build?», la respuesta está adentro.
#
# ⚠ LO QUE NO ES, Y VA ESCRITO EN LA PROPIA PÁGINA DE OPCIONES: separación de tráfico, NO anonimato.
# No toca la huella del navegador. El §4 del SDD ya se había comprometido a decirlo primero.
name = "atuq"
# El campo se había quedado en 0.2.0 mientras los commits ya iban por v0.4; se pone al día acá.
version = "0.5.0"
# El artefacto CONTIENE Firefox, así que hereda su licencia. El overlay de `recipes/atuq/` es
# nuestro, pero eso no cambia lo que se distribuye.
license = "MPL-2.0"
[source]
dir = "atuq"
[build]
# No se compila nada: esta receta copia y edita ficheros. `compiler` y `link` entran igual en el
# hash, así que se dejan en el default del corpus para no inventar una identidad que no significa
# nada.
target = "x86_64-linux-musl"
[build.phases]
configure = "echo 'atuq: nada que configurar — es un artefacto derivado'"
compile = "echo 'atuq: nada que compilar — el motor lo pone la dep firefox'"
install = '''
set -e
SRC=/usr/lib/firefox
DST=/out/usr/lib/atuq
# ── LAS ASERCIONES VAN PRIMERO, Y FALLAN RUIDOSAS ─────────────────────────────────────────────
# Un derivado que no encuentra su base no debe producir un artefacto flaco: produciría un
# directorio con cuatro ficheros de configuración, `Store::has` lo daría por presente y el fallo
# aparecería el día que alguien intente abrir el navegador. Un ausente falla fuerte; un vacío llega
# hasta el final diciendo que todo fue bien (regla 3 del CLAUDE.md).
[ -d "$SRC" ] || { echo "atuq: no está el árbol de firefox en $SRC — ¿la dep se materializó?" >&2; exit 1; }
[ -x "$SRC/firefox" ] || { echo "atuq: $SRC/firefox no existe o no es ejecutable" >&2; exit 1; }
[ -f "$SRC/browser/omni.ja" ] || { echo "atuq: falta $SRC/browser/omni.ja" >&2; exit 1; }
mkdir -p "$DST"
cp -a "$SRC"/. "$DST"/
# ── EL ÁRBOL COPIADO LLEGA DE SÓLO LECTURA ────────────────────────────────────────────────────
# `cp -a` preserva los modos, y los ficheros del store están sellados sin permiso de escritura. Todo
# lo que viene después —el `.ini`, el `omni.ja`, los iconos, el parche del app_id— los MODIFICA.
# En el worker esto pasaba inadvertido porque corre como root, que ignora los bits de permiso; el
# primer build fuera de root murió con `PermissionError: /out/usr/lib/atuq/application.ini`.
# Es la clase de bug que sólo aparece en la máquina de otro, así que se arregla acá y no en el
# entorno: un artefacto no debe depender de con qué uid lo construiste.
chmod -R u+w "$DST"
# ── LA CAPA DE CONFIGURACIÓN ──────────────────────────────────────────────────────────────────
# `defaults/pref/` es el único sitio desde el que se puede pedir el autoconfig ANTES de que exista
# un perfil; el resto cuelga de ahí.
mkdir -p "$DST/defaults/pref" "$DST/chrome" "$DST/distribution"
cp /src/prefs/autoconfig.js "$DST/defaults/pref/autoconfig.js"
cp /src/atuq.cfg "$DST/atuq.cfg"
cp /src/chrome/atuq.css "$DST/chrome/atuq.css"
cp /src/distribution/policies.json "$DST/distribution/policies.json"
# ── EL HOST NATIVO (SDD 26 §7) ────────────────────────────────────────────────────────────────
# El lanzador va ANTES de `rebrand.py` a propósito: la herramienta comprueba que el `path` de cada
# manifiesto de native messaging exista y sea ejecutable DENTRO del artefacto, y esa comprobación no
# mide nada si el fichero se copia después. Un manifiesto que apunta a un ejecutable ausente no
# falla: el navegador arranca, la extensión conecta, el puerto se cierra «sin error y sin mensaje» y
# la función no existe. Es el peor informe posible, y ya nos costó una tarde (§7.bis).
cp /src/bin/puriy-costura-host "$DST/puriy-costura-host"
chmod 0755 "$DST/puriy-costura-host"
# ── EL BRANDING ───────────────────────────────────────────────────────────────────────────────
# Todo lo que exige entrar al zip, editar el .ini o dibujar un PNG está en una herramienta aparte:
# el shell no tiene `zip` en este lab, y `zipfile` además deja fijar orden, fecha y permisos, que
# es de lo que depende que el artefacto reproduzca. La herramienta VERIFICA cada cambio y falla si
# la entrada que iba a reemplazar no estaba.
python3 /src/tools/rebrand.py "$DST" /src /out
# ── INTEGRACIÓN CON EL ESCRITORIO ─────────────────────────────────────────────────────────────
mkdir -p /out/usr/bin /out/usr/share/applications
cp /src/atuq.desktop /out/usr/share/applications/atuq.desktop
# El lanzador es un script y no un symlink: ni el binario ni sus `.so` traen RPATH (comprobado con
# `readelf -d`), así que sin `LD_LIBRARY_PATH` el motor no encuentra su propio libnspr4 y muere en
# XPCOMGlueLoad antes de pintar nada. El porqué completo está en el propio fichero.
cp /src/bin/atuq /out/usr/bin/atuq
chmod 0755 /out/usr/bin/atuq
# ── INVENTARIO ────────────────────────────────────────────────────────────────────────────────
# Lo que distingue este artefacto de su base, listado con tamaños, para que el log del build
# responda solo la primera pregunta del diagnóstico cuando «atuq se ve como Firefox».
echo "atuq: capa aplicada —"
for f in defaults/pref/autoconfig.js atuq.cfg chrome/atuq.css distribution/policies.json; do
[ -s "$DST/$f" ] || { echo "atuq: $f quedó VACÍO o ausente" >&2; exit 1; }
echo " $f ($(wc -c < "$DST/$f") bytes)"
done
# Las extensiones de sistema: que el XPI EXISTA y tenga bytes. `rebrand.py` ya cruzó cada id contra
# `ExtensionSettings` y contra la ruta desde la que la política lo va a pedir; esto es el otro lado,
# el del fichero. Un `install_url` correcto apuntando a un XPI de cero bytes falla en el arranque
# del navegador, lejos de acá y con un mensaje que no nombra a esta receta.
for x in "$DST"/distribution/extensions/*.xpi; do
[ -s "$x" ] || { echo "atuq: el XPI $x quedó vacío o no existe" >&2; exit 1; }
echo " $(basename "$x") ($(wc -c < "$x") bytes)"
done
# El manifiesto de native messaging: que exista y tenga bytes. `rebrand.py` ya cruzó su `path`
# contra el árbol y sus `allowed_extensions` contra los XPI empaquetados; esto es el otro lado —que
# el fichero llegara al artefacto—. Va en /usr/lib/mozilla y NO en el appdir porque esa ruta está
# COMPILADA dentro de Gecko (`XRESysNativeManifests`) y el rebranding no la mueve.
for m in /out/usr/lib/mozilla/native-messaging-hosts/*.json; do
[ -s "$m" ] || { echo "atuq: el manifiesto nativo $m quedó vacío o no existe" >&2; exit 1; }
echo " $(basename "$m") ($(wc -c < "$m") bytes)"
done
[ -x "$DST/puriy-costura-host" ] || { echo "atuq: el lanzador del host nativo no quedó ejecutable" >&2; exit 1; }
[ -x "$DST/atuq" ] || { echo "atuq: el binario renombrado no quedó ejecutable" >&2; exit 1; }
[ -x /out/usr/bin/atuq ] || { echo "atuq: el lanzador no quedó ejecutable" >&2; exit 1; }
grep -q '^Name=atuq' "$DST/application.ini" || { echo "atuq: application.ini no quedó rebrandeado" >&2; exit 1; }
'''
[deps]
# ⚠ DEP DE EJECUCIÓN, NO DE BUILD — Y NO ES DECORACIÓN (2026-09-06).
# Este artefacto declara `NEEDED libstdc++.so.6` / `libgcc_s.so.1`, y hasta hoy NADIE en el corpus
# las proveía: sólo existían en `.dev-fs/alpine`, o sea en el LAB. El binario sellaba, REPRODUCÍA
# bit a bit, pasaba todos los guardianes… y no arrancaba fuera del lab. Se descubrió corriendo
# `atuq` bajo un sway headless, no leyendo el grafo.
# `runtime` NO entra en el ArtifactHash (igual que `license`), así que declararlo NO re-hashea:
# lo que cambia es la CLAUSURA, que es lo que se hidrata en la imagen. Lo vigila
# `scripts/vigia-sonames.py`, que entró en el latido en `02facebe` — y NO `scripts/audit-needed.sh`,
# que ese mismo commit BORRÓ. Quedan otras siete recetas apuntando al script muerto; no se tocan
# desde acá porque son de otro frente.
#
# ⚠ Y hubo un segundo agujero, en el INSTRUMENTO y no en el artefacto (2026-09-07): la clausura
# declaraba bien `gcc-libs`, pero `scripts/atuq-nested.sh` no lo hidrataba, y como la jaula monta
# `.dev-fs/alpine` como capa de abajo, cada «atuq corre» de estos días resolvió `libstdc++.so.6`
# contra el LAB. Corregido allá. Los dos ficheros ni se parecen —20.850.968 bytes el del corpus,
# 2.804.104 el del lab—, así que ante la duda de cuál se cargó, se mira el tamaño.
# Y `puriy-costura` (SDD 26 §7): el lanzador del appdir hace `exec /usr/bin/puriy-costura`, así que
# sin esta línea la imagen llevaría el manifiesto y la extensión, y el host NO estaría — la función
# se apagaría sola sin una línea de error. `runtime` no entra en el ArtifactHash: lo que cambia es la
# CLAUSURA, que es lo que se hidrata.
# Y `puriy-costura-torrent` (§6.9): el brazo LARGO de la costura. Va como dep de RUNTIME y no como
# servicio — es PEREZOSO a propósito: el binario está en la imagen y no corre nada hasta que alguien
# hace clic en un `magnet:`. Un daemon que arranca con la sesión es un daemon que nadie pidió.
runtime = ["gcc-libs", "puriy-costura", "puriy-costura-torrent"]
# `firefox` como dep de BUILD y no de runtime: su árbol se materializa en el sandbox, se copia
# dentro del artefacto de atuq y a partir de ahí atuq no lo necesita más. El precio es que el
# artefacto pesa lo que pesa Firefox otra vez; la salida barata (una granja de symlinks) rompe la
# resolución del appdir por /proc/self/exe, así que la v0.1 paga el disco y lo dice.
build = ["firefox", "python3"]
Reference in New Issue View Git Blame Copy Permalink