sergio/takana

1# Importada de Alpine aports por `takana import-alpine` (Etapa G). PUNTO DE PARTIDA — pero
2# YA trae los parches de musl de Alpine (lo que un import de nix pierde). Pendiente: el
3# sha256 del tarball (el wrapper lo calcula), y adaptar build/install del shell de abuild.
4#
5# ⚠ CONSECUENCIA MEDIDA DE `--disable-account-tools-setuid` (2026-09-21, caja `takana`): para un
6# usuario que NO sea root, `chsh`, `passwd`, `su`, `chfn` y `newgrp` **no funcionan**. El síntoma
7# no menciona setuid por ningún lado:
8#
9#     $ su sergio -c "chsh -s /bin/bash"
10#     Cannot change ID to root.
11#
12# La bandera vino en el import de Alpine —allá esos binarios los hace setuid el empaquetado, no el
13# configure— y acá no hay quien se lo reponga: el artefacto sale `r-xr-xr-x` del store. Y aunque la
14# receta lo pusiera, **`ArtifactHash::of_tree` sólo hashea el bit de EJECUCIÓN** (`mode & 0o111`),
15# así que hoy el modelo de artefactos no puede ni expresar ni garantizar un binario setuid.
16#
17# Quitar la bandera NO alcanza y además es una decisión de seguridad, no un arreglo de receta:
18# un setuid root en una distro de artefactos sellados necesita su propia conversación (¿quién lo
19# pone, quién lo verifica, y qué pasa cuando el hash no lo cubre?). Ver SDD 28 §5.11.
20name    = "shadow"
21version = "4.18.0"
22license = "BSD-2-Clause"
23
24[source]
25tarball = "https://github.com/shadow-maint/shadow/releases/download/4.18.0/shadow-4.18.0.tar.xz"
26# FIXME sha256: el wrapper lo calcula (Alpine publica sha512). sha512 de Alpine:
27# sha512 = "e724670362949ccb570bb300322eb280c28ad609d631072b8db15a5e6eeba9fb9ac5d3df1df270f8b894235e4995b56c0e8f9aadb34d66bb5cea9b7a4f55e6ce"
28sha256  = "add4604d3bc410344433122a819ee4154b79dd8316a56298c60417e637c07608"
29patches = ["useradd-defaults.patch"]
30
31[build]
32compiler = "zig-cc"
33target   = "x86_64-linux-musl"
34link     = "static"
35flags    = []
36
37[build.phases]
38# fase configure EXPLÍCITA: si la receta no la define, takana autogenera su propio
39# `./configure --prefix=/usr` (sin nuestros --disable-*) e ignora estos flags.
40# De-Alpinizada: sin PAM (musl trae crypt), sin selinux/audit/acl/attr, estático musl.
41configure = '''
42./configure \
43	--build=$CBUILD \
44	--host=$CHOST \
45	--prefix=/usr \
46	--libdir=/usr/lib \
47	--sysconfdir=/etc \
48	--mandir=/usr/share/man \
49	--localstatedir=/var \
50	--disable-nls \
51	--disable-shared \
52	--enable-static \
53	--disable-account-tools-setuid \
54	--without-libbsd \
55	--without-libpam \
56	--without-audit \
57	--without-selinux \
58	--without-acl \
59	--without-attr \
60	--without-tcb \
61	--with-yescrypt \
62	--without-nscd \
63	--without-fcaps
64'''
65compile = '''
66# libtool se come el `-static` (lo lee como flag de libtool, no de link real).
67# El único camino a binarios musl 100% estáticos es su flag propio `-all-static`.
68make LDFLAGS="-all-static"
69'''
70# de package() de Alpine (traducido $pkgdir→/out), sin los pam.d de aports:
71install = '''
72make DESTDIR="/out" install
73make -C man DESTDIR="/out" install-man || true
74
75cd "/out"
76
77# Avoid conflict with man-pages package.
78rm -f usr/share/man/man3/getspnam.3*
79rm -f usr/share/man/man5/passwd.5*
80
81# /etc/login.defs is not very useful - replace it with an *almost* blank file.
82rm -f etc/login.defs
83echo "USERGROUPS_ENAB yes" > etc/login.defs
84echo "UID_MIN 1000" >> etc/login.defs
85
86# Used e.g. for unprivileged LXC containers.
87install -m644 /dev/null etc/subuid
88install -m644 /dev/null etc/subgid
89'''
90
91# deps de Alpine remapeadas al catálogo canónico. AUSENTES quitadas:
92# linux-pam, libbsd, setcap. Sin fcaps (setcap falla en el sandbox) ⇒ sin libcap.
93[deps]
94build = ["linux-headers", "make"]