sergio/takana

1#!/usr/bin/env python3
2# vigia-subcomandos.py — ¿hay herramientas SELLADAS que no sirven porque falta su DRIVER?
3#
4# ══ EL PUNTO CIEGO QUE ESTE VIGÍA CUBRE ════════════════════════════════════════════════════════
5# `build-state.py` contesta «¿está sellado?», `vigia-sonames.py` contesta «¿algún `.so` que alguien
6# pide no lo provee nadie?» y `vigia-imagen.py` contesta «¿la imagen se puede USAR?». Ninguno
7# contesta ésta: **¿este binario sellado sirve para algo por sí solo?**
8#
9# Hay una familia entera de herramientas que NO son programas: son SUBCOMANDOS. `protoc-gen-go` es un
10# plugin que `protoc` ejecuta; `cargo-audit` existe para escribirse `cargo audit`; `kubectl-tree` lo
11# despacha `kubectl`. Sellados, no vacíos, sin NEEDED colgante, reproducibles — y **inertes**, porque
12# el driver que los invoca no está en el catálogo.
13#
14# ⚠ **Ningún indicador existente puede verlo.** El artefacto tiene contenido (regla 3 ✓), resuelve
15# sus sonames (vigia-sonames ✓), el grafo lo cuenta como `sealed` (✓) y `verificar-repro` dice que
16# REPRODUCE (✓). Cuatro verdes sobre algo que no se puede usar. La arista «me ejecuta aquél» no es
17# una dep de build, así que no existe en el grafo: se descubre sólo cuando alguien va a usarlo.
18#
19# ══ CÓMO LO ENCONTRÉ (2026-09-11), que es la razón de que este fichero exista ═══════════════════
20# `recipes/protoc-gen-go.toml` llevaba meses sellado y el catálogo NO tenía `protoc`. Un plugin de
21# protoc sin protoc no hace absolutamente nada. No lo delató ninguna métrica: lo delató ir a escribir
22# la receta de un servicio gRPC y preguntarse con qué se generan los stubs.
23#
24# ══ QUÉ MIDE, Y POR QUÉ ASÍ ════════════════════════════════════════════════════════════════════
25# Para cada prefijo de la tabla DRIVERS, junta las recetas que empiezan con él y comprueba que el
26# **BINARIO** del driver exista dentro de algún artefacto sellado.
27#
28#   · Se comprueba el BINARIO y no el nombre de la receta a propósito: el driver de `protoc-gen-*` es
29#     `protoc`, que lo publica la receta `protobuf`. Preguntar «¿existe recipes/protoc.toml?» habría
30#     contestado «no» incluso después de cerrarlo, y un vigía que grita cuando ya está arreglado se
31#     empieza a ignorar — que es cómo se muere un guardián ([[guardianes-el-ruido-los-mata]]).
32#   · La tabla es EXPLÍCITA y no una heurística sobre guiones. `git-cliff` es subcomando de git, pero
33#     `gettext-tiny` no es subcomando de `gettext`. Adivinar por el guión da falsos positivos, y un
34#     vigía con falsos positivos no se lee.
35#
36# ══ AUTOPRUEBA ═════════════════════════════════════════════════════════════════════════════════
37# `--autoprueba` corre los dos controles que hacen falta para creerle a un guardián: uno NEGATIVO
38# (esconder un driver que sí está ⇒ TIENE que saltar) y uno POSITIVO (sin tocar nada, los drivers
39# presentes NO deben aparecer). Un guardián que nunca falló no se sabe si sirve.
40#
41# Uso:   scripts/vigia-subcomandos.py [--autoprueba]
42# Sale:  0 si no hay inertes · 1 si los hay · 2 si la autoprueba falla
43import glob
44import os
45import re
46import sys
47
48RAIZ = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))
49
50# prefijo de receta → (binario del driver, quién se supone que lo publica, para el mensaje)
51DRIVERS = {
52    "cargo-": ("cargo", "el toolchain de Rust"),
53    "kubectl-": ("kubectl", "una receta kubectl"),
54    "git-": ("git", "recipes/git.toml"),
55    "helm-": ("helm", "recipes/helm.toml"),
56    "protoc-gen-": ("protoc", "recipes/protobuf.toml"),
57    "docker-": ("docker", "una receta docker"),
58}
59
60
61def artefactos():
62    """Todos los directorios de artefacto del store, por nombre de receta.
63
64    ⚠ El nombre se saca con una EXPRESIÓN ANCLADA, no con `glob('store/*-<n>')`: ese glob hace
65    coincidencia por sufijo, así que `*-go` casa con `…-protoc-gen-go` y contesta que `go` está
66    sellado cuando no lo está. Me pasó midiendo esto mismo."""
67    out = {}
68    for d in glob.glob(os.path.join(RAIZ, "store", "*")):
69        m = re.match(r"^[0-9a-f]{64}-(.+)$", os.path.basename(d))
70        if m and os.path.isdir(d):
71            out.setdefault(m.group(1), []).append(d)
72    return out
73
74
75def provee_binario(arts, nombre_bin, ocultar=()):
76    """¿Algún artefacto sellado trae un ejecutable llamado `nombre_bin`?"""
77    for receta, dirs in arts.items():
78        if receta in ocultar:
79            continue
80        for d in dirs:
81            for sub in ("bin", "sbin", "usr/bin", "usr/sbin", "usr/local/bin"):
82                p = os.path.join(d, sub, nombre_bin)
83                if os.path.exists(p):
84                    return receta
85    return None
86
87
88def barrido(arts, ocultar=()):
89    """→ lista de (prefijo, binario, quien_deberia, [recetas inertes])."""
90    recetas = set()
91    for patron in ("recipes/*.toml", "recipes/incoming*/*.toml"):
92        for f in glob.glob(os.path.join(RAIZ, patron)):
93            recetas.add(os.path.basename(f)[:-5])
94    hallazgos = []
95    for prefijo, (binario, quien) in sorted(DRIVERS.items()):
96        subs = sorted(r for r in recetas if r.startswith(prefijo) and r != prefijo.rstrip("-"))
97        if not subs:
98            continue
99        if provee_binario(arts, binario, ocultar) is None:
100            hallazgos.append((prefijo, binario, quien, subs))
101    return hallazgos
102
103
104def autoprueba():
105    """Control NEGATIVO + control POSITIVO. Sin los dos, no se sabe si el vigía mide algo."""
106    arts = artefactos()
107    ok = True
108
109    # NEGATIVO: escondemos `git`, que SÍ está y tiene subcomandos ⇒ el vigía tiene que verlo.
110    quien_git = provee_binario(arts, "git")
111    if quien_git is None:
112        print("   ⚠ control negativo NO APLICABLE: `git` no está sellado en esta máquina")
113    else:
114        roto = [p for p, _b, _q, _s in barrido(arts, ocultar={quien_git})]
115        if "git-" in roto:
116            print(f"   ✓ control NEGATIVO: escondiendo `{quien_git}`, el vigía canta `git-` ")
117        else:
118            print(f"   ✗ control NEGATIVO FALLÓ: escondí `{quien_git}` y el vigía no dijo nada")
119            ok = False
120
121    # POSITIVO: sin tocar nada, los drivers que SÍ están no deben aparecer. Un vigía que grita
122    # sobre todo es igual de inútil que uno que nunca grita.
123    presentes = [p for p, (b, _q) in DRIVERS.items() if provee_binario(arts, b)]
124    ruidosos = [p for p, _b, _q, _s in barrido(arts) if p in presentes]
125    if ruidosos:
126        print(f"   ✗ control POSITIVO FALLÓ: canta sobre drivers presentes: {ruidosos}")
127        ok = False
128    else:
129        print(f"   ✓ control POSITIVO: no canta sobre los {len(presentes)} drivers presentes "
130              f"({', '.join(p.rstrip('-') for p in presentes)})")
131    return ok
132
133
134def main():
135    if "--autoprueba" in sys.argv:
136        print("══ AUTOPRUEBA DEL VIGÍA ══")
137        sys.exit(0 if autoprueba() else 2)
138
139    arts = artefactos()
140    hallazgos = barrido(arts)
141    print("══ SUBCOMANDOS SIN DRIVER ══")
142    if not hallazgos:
143        print("   ✓ 0 herramientas inertes: todos los drivers de la tabla están en el catálogo")
144        sys.exit(0)
145    total = 0
146    for prefijo, binario, quien, subs in hallazgos:
147        total += len(subs)
148        print(f"\n   ✗ falta el binario `{binario}` ({quien})")
149        print(f"     ⇒ {len(subs)} recetas selladas quedan INERTES:")
150        for i in range(0, len(subs), 6):
151            print("       " + "  ".join(subs[i:i + 6]))
152    print(f"\n   TOTAL: {total} herramientas selladas que no se pueden invocar.")
153    print("   No es deuda de BUILD (construyen y reproducen): es deuda de CATÁLOGO.")
154    sys.exit(1)
155
156
157if __name__ == "__main__":
158    main()