SergioandClaude Opus 5
89da9c822f
Resuelve §NO-resuelve 2 del ADR 0015, que era el ticket que más desbloqueaba. Tres síntomas que parecían distintos —apt sin poder bajar a `_apt`, pacman sin poder chownear a `alpm`, pressure-vessel sin poder escribir su uid_map— eran la misma causa: bwrap crea el userns con UN SOLO id. La cura resultó tener TRES partes, y ninguna sobra: 1. `setcap cap_setuid+ep newuidmap` (+ cap_setgid en newgidmap). shadow.toml los instala pero no los provisiona; sin la capability no escriben el mapa. 2. Crear el userns nosotros, mapear el rango de /etc/subuid con newuidmap y pasárselo a bwrap con `--userns FD`. bwrap crea el suyo con un solo id A PROPÓSITO y nunca llama a newuidmap: el trabajo es de quien lo invoca. El fd lo abre la shell (`exec 3<…`), porque un fd sólo cruza el exec si no es CLOEXEC y no valía la pena una dep de C para un fcntl. 3. Devolver las capabilities DENTRO del namespace. Ésta no estaba en el plan y es la que costó: bwrap las tira todas, y en Linux ser root es tener CAP_SETUID, no tener uid 0. Sin ella apt seguía sin poder seteuid(42) — un síntoma que parecía de subuid y no lo era. Son seguras por construcción: dentro de un userns sólo alcanzan lo que ese namespace posee, o sea nuestros propios subuid. CAP_SYS_ADMIN queda fuera y sigue colgando de `nesting`. MEDIDO después: uid_map de 65537 ids, setgroups: allow, apt instala SIN el APT::Sandbox::User=root, pacman sincroniza con DownloadUser=alpm INTACTO, y el userns anidado monta con root=true ⇒ el conflicto 2 de D9 se disuelve solo. Dos cosas más que salieron por medir, no por pensar: - El guardián MENTÍA. qorpa-preflight envolvía al hijo en `timeout`, que forkea, así que newuidmap apuntaba al PID equivocado y el kernel respondía "Operation not permitted" — un falso negativo idéntico a un fallo real. Decía que subuid no andaba cuando a mano andaba. Ahora sale exit 0. - Quitar el impuesto MUEVE el problema: el upper pasa a contener ficheros de los subuid (apt deja los suyos con uid 165577) que nuestro uid no puede borrar ⇒ recreate entra a un userns mapeado para limpiar. Y cuando no hay rango, se degrada diciendo la causa exacta en vez de quedar en misterio. Y un detalle que no es cosmético: `--perms 1777` antes del `--tmpfs /tmp`, o el _apt al que apt baja no puede escribir su fichero temporal. Un /tmp que no es 1777 no es /tmp. 2 tests nuevos (el rango se lee por usuario; CAP_SYS_ADMIN NO está en las caps de root, o `nesting` dejaría de ser una decisión). 45/45. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01U5cQtQrYNjWJVXVE6aEpQ2
59 lines
2.9 KiB
TOML
59 lines
2.9 KiB
TOML
# libsndfile 1.2.2 — lectura/escritura de ficheros de audio (WAV, AIFF, AU…). Entra al frente GNOME
|
|
# por debajo de pulseaudio: `sndfile` es dep INCONDICIONAL de su meson.build:615 (top-level, sin
|
|
# `required:` que la ablande), así que ni siquiera `-Ddaemon=false` la esquiva. Cadena de la cima:
|
|
# gnome-shell → subprojects/gvc → libpulse → libsndfile.
|
|
#
|
|
# --disable-external-libs es lo que hace que esta receta sea UNA y no CINCO: por defecto libsndfile
|
|
# enlaza FLAC, Ogg y Vorbis, ninguna en el corpus. Apagándolos queda una librería C autocontenida
|
|
# que no depende de nada fuera de libc. Lo que se pierde es leer .flac/.ogg; lo que consume el
|
|
# escritorio de acá son los sonidos de sistema en WAV, que es el formato nativo de libsndfile.
|
|
# --disable-mpeg apaga LAME/mpg123 por lo mismo.
|
|
#
|
|
# --disable-alsa: ALSA sólo la usa el programa de ejemplo sndfile-play, no la librería.
|
|
# --disable-sqlite: sólo la usa la utilidad sndfile-regtest.
|
|
# --disable-full-suite: no instala los ~10 binarios de utilería (sndfile-info, sndfile-convert…);
|
|
# lo que gvc necesita es libsndfile.so y su .pc.
|
|
#
|
|
# ISLA DINÁMICA: shared, porque libpulse y todo lo que cuelga de gnome-shell son .so.
|
|
name = "libsndfile"
|
|
version = "1.2.2"
|
|
license = "LGPL-2.1-or-later"
|
|
|
|
[source]
|
|
tarball = "https://github.com/libsndfile/libsndfile/releases/download/1.2.2/libsndfile-1.2.2.tar.xz"
|
|
sha256 = "3799ca9924d3125038880367bf1468e53a1b7e3686a934f098b7e1d286cdb80e"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "dynamic"
|
|
|
|
[build.phases]
|
|
configure = '''
|
|
# ── `PYTHON=python3`: su configure sólo busca python2.x y aborta ────────────────────────────────
|
|
# El `AM_PATH_PYTHON` de este autoconf prueba python2.2, python2.1, python2.0 —literalmente— y al no
|
|
# hallarlos muere con «configure: error: no suitable Python interpreter found». Declarar `python3` en
|
|
# `[deps]` NO ayuda: el problema no es que falte el intérprete sino que el script no reconoce ese
|
|
# NOMBRE. Autoconf respeta la variable de entorno `PYTHON`, así que se le pasa directamente.
|
|
#
|
|
# ⚠ Y el mensaje engaña doble: es un error de AUTOTOOLS, no de meson, y aparece en el log de las
|
|
# recetas que dependen de ésta. El 2026-08-09 tumbó CUATRO —wireplumber, xdg-desktop-portal,
|
|
# xdg-desktop-portal-cosmic y cosmic-settings-daemon— y en todas parecía un fallo propio. Cuando
|
|
# varias recetas fallan con el mismo mensaje raro, mirar QUÉ configure lo emite: las flags del
|
|
# comando lo identifican (aquí `--disable-mpeg --disable-full-suite` son inconfundibles de libsndfile).
|
|
PYTHON=python3 ./configure \
|
|
--build=$CBUILD --host=$CHOST \
|
|
--prefix=/usr \
|
|
--enable-shared --disable-static \
|
|
--disable-external-libs \
|
|
--disable-mpeg \
|
|
--disable-alsa \
|
|
--disable-sqlite \
|
|
--disable-full-suite
|
|
'''
|
|
compile = 'make -j"$(nproc)"'
|
|
install = 'make DESTDIR=/out install'
|
|
|
|
[deps]
|
|
build = ["make", "pkgconf"]
|