Sergio
0a2f8916e6
CPython abortaba `_ssl` con «OPENSSL_THREADS is not defined, Python requires
thread-safe OpenSSL», y la receta lo daba por imposible sin rehacer openssl.
CAUSA RAÍZ, probada: no es openssl, es `link = "static"`.
`hammer-build/src/lib.rs:285` inyecta `LDFLAGS=-static`, y el Configure de
openssl (línea 1514) hace:
if (grep { $_ =~ /(?:^|\s)-static(?:\s|$)/ } @{$config{LDFLAGS}}) {
disable('static', 'pic', 'threads');
}
⇒ el propio `-static` apaga los threads en silencio. Añadir `threads` explícito
NO sirve (el disable() va después y gana): el configuration.h salía byte a byte
idéntico. Dentro del sandbox `configdata.pm` decía `thread_scheme => pthreads`
pero `THREADS_DEFINE=0`; fuera del sandbox, los mismos flags —y hasta con el
perl del corpus— SÍ definían el macro. La diferencia era el entorno.
`openssl-threads`: misma receta con `link = "dynamic"` (mantiene `no-shared`,
sigue emitiendo .a). Verificado: OPENSSL_THREADS definido y 36 símbolos
pthread_ reales en libcrypto.a.
VARIANTE y no tocar `recipes/openssl.toml`: de la canónica cuelgan los CUATRO
kernels (linux, linux-generic, linux-metal, linux-metal-dual) y la reproducción
bit a bit del 6.16.12 es un resultado cerrado; moverle el hash lo invalidaría,
más 125 sellados.
Además `ssl` entra en la asserción del install. Sin ese guardián se volvería a
sellar un intérprete mudo — que es justo como esto estuvo escondido meses.
Verificado: `checking for stdlib extension module _ssl... yes`,
_ssl.cpython-312-x86_64-linux-musl.so instalada, y el propio install imprime
`modulos opcionales: OK` importando ssl.
⚠ Mueve el hash de python3: 251 dependientes directos, ~369 sellados en los
cinco grafos (161 en KDE). Es el coste aceptado de la decisión.
63 lines
3.5 KiB
TOML
63 lines
3.5 KiB
TOML
# OpenSSL 3.5.4 con THREADS — variante para `python3` (_ssl). NO sustituye a `recipes/openssl.toml`.
|
|
#
|
|
# ── POR QUÉ UNA VARIANTE Y NO TOCAR LA CANÓNICA ─────────────────────────────────────────────────
|
|
# La canónica existe para de-Alpinizar el host-tool `certs/extract-cert` del kernel, y **los CUATRO
|
|
# kernels dependen de ella** (`linux`, `linux-generic`, `linux-metal`, `linux-metal-dual`). Moverle
|
|
# el hash invalidaría los 125 sellados que cuelgan de openssl e incluiría la reproducción bit a bit
|
|
# del kernel 6.16.12, que es un resultado CERRADO. Esta variante deja esa cadena intacta: sólo la
|
|
# usa `python3`. Mismo patrón que las sombras `libpng-pic` / `glib-shared`.
|
|
#
|
|
# ── QUÉ CAMBIA: `link = "dynamic"` (NO es un flag de openssl) ───────────────────────────────────
|
|
# El `configure` de CPython comprueba `#if !defined(OPENSSL_THREADS) || defined(OPENSSL_NO_THREADS)`
|
|
# y aborta con «OPENSSL_THREADS is not defined, Python requires thread-safe OpenSSL».
|
|
#
|
|
# LA CAUSA NO ES OPENSSL, ES `link = "static"` DE LA RECETA. `hammer-build/src/lib.rs:285` mete
|
|
# `LDFLAGS=-static` cuando el link es estático, y el `Configure` de openssl (línea 1514) hace:
|
|
#
|
|
# if (grep { $_ =~ /(?:^|\s)-static(?:\s|$)/ } @{$config{LDFLAGS}}) {
|
|
# disable('static', 'pic', 'threads');
|
|
# }
|
|
#
|
|
# ⇒ **el propio `-static` apaga los threads**, en silencio y pase lo que pase en la línea de
|
|
# `Configure`. Probado: añadir `threads` explícito NO sirve de nada (el `disable()` va después y
|
|
# gana); el `configuration.h` salía byte a byte idéntico al de la canónica. Con `link = "dynamic"`
|
|
# desaparece el `-static` de LDFLAGS y `OPENSSL_THREADS` vuelve a definirse.
|
|
#
|
|
# `no-shared` SE MANTIENE: seguimos produciendo `libcrypto.a`/`libssl.a`. `link` es de hammer (qué
|
|
# LDFLAGS inyecta), `no-shared` es de openssl (qué artefactos emite). Son perillas distintas y acá
|
|
# hacen falta las dos.
|
|
#
|
|
# Cómo se cazó: `thread_scheme => "pthreads"` en el `configdata.pm` DENTRO del sandbox (o sea, el
|
|
# target estaba bien) pero `THREADS_DEFINE=0`; y el mismo `Configure`, con los mismos flags y hasta
|
|
# con el perl del corpus, SÍ definía el macro fuera del sandbox. La diferencia era el entorno, no la
|
|
# receta de openssl.
|
|
#
|
|
# ⚠ PIC no es el problema y conviene decirlo: `libcrypto.a` de la canónica YA es PIC. `readelf -r`
|
|
# cuenta 256175 `R_X86_64_32`, pero **excluyendo las secciones `.rela.debug_*` son 0** — es la
|
|
# trampa de medición ya documentada en el repo. Así que la variante NO añade `-fPIC`.
|
|
|
|
name = "openssl-threads"
|
|
version = "3.5.4"
|
|
license = "Apache-2.0"
|
|
|
|
[source]
|
|
tarball = "https://github.com/openssl/openssl/releases/download/openssl-3.5.4/openssl-3.5.4.tar.gz"
|
|
sha256 = "967311f84955316969bdb1d8d4b983718ef42338639c621ec4c34fddef355e99"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "dynamic"
|
|
# zig 0.13.0 en vez del 0.16: el gcc era precautorio por el riesgo de miscompilación de zig 0.16 en
|
|
# binarios grandes (regresión 0.14). 0.13.0 lo esquiva (mismo bisect que flex). openssl es C+asm GAS,
|
|
# que el assembler integrado de zig cc (clang) maneja. Con el zig bueno por-receta gcc no hace falta.
|
|
zig_version = "0.13.0"
|
|
|
|
[deps]
|
|
build = ["perl"]
|
|
|
|
[build.phases]
|
|
configure = "./Configure linux-x86_64 --prefix=/usr --libdir=lib no-shared no-docs no-tests no-apps"
|
|
compile = "make -j\"$(nproc)\" build_libs"
|
|
install = "make DESTDIR=/out install_dev"
|