sergio/takana

1# Importada de Alpine aports por `takana import-alpine` (Etapa G). PUNTO DE PARTIDA — pero
2# YA trae los parches de musl de Alpine (lo que un import de nix pierde). Pendiente: el
3# sha256 del tarball (el wrapper lo calcula), y adaptar build/install del shell de abuild.
4name    = "git"
5version = "2.54.0"
6license = "GPL-2.0-only"
7
8[source]
9tarball = "https://www.kernel.org/pub/software/scm/git/git-2.54.0.tar.xz"
10# FIXME sha256: el wrapper lo calcula (Alpine publica sha512). sha512 de Alpine:
11# sha512 = "cb363917124edc245c9f6745e6e0c4093990275b4d57f9d2213c655b304ac81b05ece8d88546122727495ebc48a5ae19ab166a3ee43b6b8c68da488ac0270064"
12sha256  = "f689162364c10de79ef89aa8dbf48731eb057e34edbbd20aca510ce0154681a3"
13patches = ["fix-t4219-with-sticky-bit.patch"]
14
15[build]
16compiler = "zig-cc"
17target   = "x86_64-linux-musl"
18link     = "static"
19
20# Split de la info de depuración (SDD 23 etapa 4, tanda de HOJAS). Entra en `hash_inputs`.
21strip_debug = true
22flags    = []
23
24[build.phases]
25# build de git LIMPIO estático-musl: Makefile propio (no autotools). Desactivamos
26# gettext/tcltk/python (no los tenemos); curl/openssl/pcre2/zlib resuelven por las
27# deps materializadas en /usr del lab.
28# Flags idénticas en compile e install: git graba CFLAGS/LDFLAGS en GIT-CFLAGS y
29# fuerza relink si difieren entre invocaciones.
30#
31# ⚠⚠ `-fsanitize=undefined` VA SÓLO EN LDFLAGS, NUNCA EN CFLAGS. Estaba en los dos, y el motivo era
32# legítimo —las libz.a/etc. materializadas traen referencias `__ubsan_handle_*` que bajo `-static` no
33# se resuelven solas, y el flag al enlazar trae el runtime ubsan de zig—. Pero en CFLAGS **instrumenta
34# el código de git**, y el resultado era un git que NO PUEDE CLONAR:
35#
36#     $ git clone --depth 1 <cualquier repo>
37#     ???:?:?: 0x188db5e in git_hash_sha1_update
38#     ???:?:?: 0x1353318 in parse_pack_objects
39#     fatal: fetch-pack: invalid index-pack output
40#
41# `ls-remote` funciona (no desempaqueta nada), así que el fallo parece de red y no de git. Medido el
42# 2026-09-11 en la caja de producción (SDD 28 §6.11); el binario sellado traía 69 cadenas de ubsan.
43# Un arreglo de ENLACE se había convertido en una mina en RUNTIME, en la ruta de hash, que es por
44# donde pasa todo lo que git recibe.
45#
46# La distinción que hay que conservar: el runtime hace falta (LDFLAGS), la instrumentación no
47# (CFLAGS). Si algún día hay que volver a instrumentar, que sea una receta aparte.
48#
49# ⚠ Y `-DSHA1DC_FORCE_ALIGNED_ACCESS`, que es LA causa de fondo. El informe completo dice:
50#
51#     panic: load of misaligned address 0x… for type 'const uint32_t',
52#            which requires 4 byte alignment
53#       in sha1_compression_states → sha1_process → SHA1DCUpdate → git_SHA1DCUpdate
54#       → git_hash_update → unpack_entry_data → cmd_index_pack
55#
56# `sha1collisiondetection` —el backend de SHA1 por defecto de git, el que detecta el ataque
57# SHAttered— lee palabras de 32 bits SIN alinear. En x86 eso funciona y por eso nadie lo nota; según
58# el estándar es comportamiento indefinido, y basta que el runtime ubsan esté enlazado para que
59# ABORTE. El define hace que sha1dc lea byte a byte: quita el UB en la FUENTE en vez de esconderlo.
60#
61# Las dos cosas juntas importan: sin el define, cualquier build que arrastre el runtime ubsan vuelve
62# a romper `git clone` — y `clone` es por donde pasa todo lo que git recibe.
63compile = '''
64make prefix=/usr CC="${CC:-cc}" \
65	NO_GETTEXT=1 NO_TCLTK=1 NO_PYTHON=1 NO_INSTALL_HARDLINKS=1 \
66	NO_R_TO_GCC_LINKER=1 FUZZ_PROGRAMS= \
67	CFLAGS="$CFLAGS -static -DSHA1DC_FORCE_ALIGNED_ACCESS" \
68	LDFLAGS="$LDFLAGS -static -fsanitize=undefined" \
69	all
70'''
71install = '''
72make prefix=/usr DESTDIR="/out" CC="${CC:-cc}" \
73	NO_GETTEXT=1 NO_TCLTK=1 NO_PYTHON=1 NO_INSTALL_HARDLINKS=1 \
74	NO_R_TO_GCC_LINKER=1 FUZZ_PROGRAMS= \
75	CFLAGS="$CFLAGS -static -DSHA1DC_FORCE_ALIGNED_ACCESS" \
76	LDFLAGS="$LDFLAGS -static -fsanitize=undefined" \
77	install
78'''
79
80# depends de runtime de Alpine (NO build-deps): perl
81
82[deps]
83build = ["binutils", "zlib", "openssl", "curl", "pcre2", "linux-headers", "perl"]