關於二進位發布重建 – Simon Josefsson 的部落格
➤ 探討軟體重現性的極限與未來方向
✤ https://blog.josefsson.org/2025/03/31/on-binary-distribution-rebuilds/
Simon Josefsson 分享了他重建 Debian 和 Ubuntu 封包 (前 50 名熱門封包) 的實驗,並與 Reproduce.Debian.net 專案進行比較。Reproduce.Debian.net 旨在完全重現官方發布的封包,但使用與原始建立時相同的建構輸入。Josefsson 認為,為了確保真正的可信賴,不僅需要可重現的重建,更需要「冪等重建」(Idempotent Rebuild),即從最初的源碼完全重建整個發布版本,而不依賴任何初始的二進位 Blob。他提出了一個迭代的重建過程,目標是達到一個穩定的狀態,即後續重建不再產生任何差異。此過程可能面臨的挑戰包括嵌入式時間戳和非確定性輸出,甚至可能發現 Debian 主系統已經無法完全重建。他還建議使用 Guix
#開源 #Debian #可重現性 #軟體供應鏈