Sergio
96855001c6
Ocho paquetes más (giflib, pcre2, nghttp2, libogg, libvorbis, speexdsp, libuv, tea) con la misma
regla de evidencia. Su tarball no estaba en `work/tarballs/`, así que el modo `--fetch` lo baja a un
temporal, lo verifica contra el sha256 QUE LA RECETA PINEA —o es el árbol exacto o no se mira— y lo
borra. No se escribe en la caché de hammer a propósito: es suya, y un fichero puesto ahí por otro
camino es una vía de envenenamiento que nadie audita.
Dos correcciones al criterio, las dos porque produjo una afirmación falsa:
· `gmp` salía GPL-3.0-or-later. Su `COPYING` es la GPLv3, pero al lado trae `COPYING.LESSERv3` y
`COPYINGv2` porque la biblioteca es LGPL. La regla anterior —«el `COPYING` a secas gana al
sufijado»— arregla socat, cuyo `COPYING.OpenSSL` es una excepción, y rompe gmp, donde el extra
nombra otra VERSIÓN y no una dep. Esa diferencia es demasiado fina para codificarla sin
equivocarse, así que ahora se identifican TODOS los ficheros de la raíz y sólo hay veredicto si
dicen lo mismo. gmp, ffmpeg y los tres `gi-*` quedan pendientes, que es lo correcto: en ffmpeg
la respuesta ni siquiera está en el árbol, la deciden los flags de la receta.
· Pero «varios ficheros» no es «ambigüedad»: el `COPYING` de pcre2 son dos líneas apuntando a
`LICENCE.md`, y los dos dicen BSD-3. Por eso se unen las identificaciones en vez de contar
ficheros — ambiguo es que digan cosas DISTINTAS.
Y el TSV pasa a ser ACUMULATIVO. Una receta ya sembrada sale del conjunto de entrada porque ya tiene
`license`, así que regenerar el fichero entero borraba su cita — y la cita es el rastro de
auditoría, lo único que deja revisar un veredicto sin repetir el trabajo. Un fichero de evidencia
que se olvida de lo que ya probó no es evidencia.
Los 10 ArtifactHash afectados, idénticos antes y después.
31 lines
1.3 KiB
TOML
31 lines
1.3 KiB
TOML
# nghttp2 1.64.0 — HTTP/2 en C. Entra al frente GNOME por debajo de libsoup: soup 3.x usa
|
|
# libnghttp2 para HTTP/2 y libnghttp2 para el (opcional) HTTP/3, y sin ella el meson de soup
|
|
# corta. No la pide el escritorio directamente: es dep transitiva de la cima (eds → libsoup).
|
|
#
|
|
# --enable-lib-only es la clave del costo: nghttp2 trae ADEMÁS un set de aplicaciones (nghttp,
|
|
# nghttpd, nghttpx, h2load) que arrastran libev, libcares, openssl, jansson y libevent — cinco
|
|
# recetas que NO hay que autorar. Lo que libsoup enlaza es sólo `libnghttp2.so`, así que
|
|
# apagando las apps la frontera de nghttp2 queda en CERO deps nuevas: pkgconf y nada más.
|
|
#
|
|
# ISLA DINÁMICA: shared, porque libsoup y todo el stack GNOME de esta onda son .so.
|
|
name = "nghttp2"
|
|
version = "1.64.0"
|
|
license = "MIT"
|
|
|
|
[source]
|
|
tarball = "https://github.com/nghttp2/nghttp2/releases/download/v1.64.0/nghttp2-1.64.0.tar.xz"
|
|
sha256 = "88bb94c9e4fd1c499967f83dece36a78122af7d5fb40da2019c56b9ccc6eb9dd"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "dynamic"
|
|
|
|
[build.phases]
|
|
configure = "./configure --prefix=/usr --enable-lib-only --enable-shared --disable-static --disable-python-bindings --disable-examples"
|
|
compile = "make -j\"$(nproc)\""
|
|
install = "make install DESTDIR=/out"
|
|
|
|
[deps]
|
|
build = ["pkgconf"]
|