sergio/takana

1#!/bin/sh
2# Q2 — ¿qué es el "runtime base" implícito? (SDD 16 §8)
3#
4# La pregunta de diseño que decide si la métrica de la Fase 2 mide deuda real de de-Alpinización
5# o mide ruido. Ninguna receta declara /bin/sh, la libc o /opt/zig, y ninguna debería. Pero si el
6# runtime base se define de más, la política concede Alpine entero y la evidencia no vale nada.
7#
8# Método: NO adivinarlo. Correr un build real con `política = clausura declarada` y dejar que
9# las denegaciones lo nombren. Lo que aparezca es, por definición, lo que todo build necesita y
10# nadie declara.
11#
12# Replica el sandbox real (`Sandbox::bwrap_args`): overlay del rootfs Alpine + las deps apiladas,
13# `--tmp-overlay /`, /proc, /dev, /tmp, zig en /opt/zig, fuentes en /src, salida en /out.
14set -eu
15cd "$(dirname "$0")/../.."
16
17BIN="${HARKAQ_BIN:-$HOME/.cache/harkaq}"
18ROOTFS=.dev-fs/alpine
19ZIG=.dev-fs/tools/zig
20
21# MODE=base  → build SIN ninguna dep declarada. Por definición, TODA denegación es runtime base:
22#              no hay clausura que pueda explicarla. Aísla la respuesta a Q2 sin juicio de valor.
23# MODE=zlib  → el mismo build contra la dep zlib del store. Lo que sobre por encima del runtime
24#              base ES la deuda de de-Alpinización, sin ambigüedad.
25MODE="${MODE:-zlib}"
26
27[ -d "$ROOTFS" ] || { echo "falta $ROOTFS"; exit 1; }
28[ -d "$ZIG" ] || { echo "falta $ZIG"; exit 1; }
29
30WORK=$(mktemp -d); trap 'rm -rf "$WORK"' EXIT
31mkdir -p "$WORK/src" "$WORK/out"
32
33if [ "$MODE" = configure ]; then
34    # Una fuente autotools REAL. `configure` sondea el sistema entero (cientos de tests con
35    # sed/grep/awk/rm...), así que es la prueba de si el runtime base de 5 paths medido contra
36    # un `zig cc` mínimo aguanta, o si es POR FORMA DE BUILD. Es la pregunta que decide si la
37    # métrica de <5% de la Fase 2 es alcanzable.
38    DEPS=""
39    SRCDIR="${Q2_SRC:-work/sources/libgpg-error-7a85413f2bc354f4}"
40    [ -d "$SRCDIR" ] || { echo "falta $SRCDIR"; exit 1; }
41    cp -a "$SRCDIR"/. "$WORK/src/"
42elif [ "$MODE" = base ]; then
43    DEPS=""
44    LDFLAGS=""
45    cat > "$WORK/src/hello.c" <<'EOF'
46#include <stdio.h>
47int main(void) { printf("hola\n"); return 0; }
48EOF
49else
50    DEPS=$(ls -d store/*-zlib | head -1)
51    LDFLAGS="-lz"
52    cat > "$WORK/src/hello.c" <<'EOF'
53#include <zlib.h>
54#include <stdio.h>
55int main(void) { printf("zlib %s\n", zlibVersion()); return 0; }
56EOF
57fi
58
59# La clausura DECLARADA (D1) + las superficies que el sandbox define por contrato, no la receta:
60# /src (fuentes), /out (DESTDIR), /tmp (HOME). Nada de Alpine.
61POLICY="$WORK/policy"
62# Sin deps (MODE=base) la clausura declarada es VACÍA: la política son sólo las
63# superficies de contrato del sandbox. Todo lo demás que el build toque, se ve.
64: > "$POLICY"
65[ -n "$DEPS" ] && scripts/harkaq/harkaq-policy.sh $DEPS > "$POLICY"
66{
67    echo "rw /src"
68    echo "rw /out"
69    echo "rw /tmp"
70    echo "ro /opt/zig"
71    # BASE_EXTRA: lo que las corridas previas demostraron que hace falta. Empieza vacío y se
72    # llena SÓLO con lo que el kernel denunció — nunca por corazonada. Cada línea de acá es una
73    # respuesta medida a Q2, no una conjetura.
74    [ -n "${BASE_EXTRA:-}" ] && printf '%s\n' "$BASE_EXTRA"
75    # Denegaciones ESPERADAS (§4.2): se deniegan a propósito y se declaran acá para que el
76    # clasificador no las cuente como deuda. harkaq-exec las ignora (empiezan con #).
77    [ -n "${EXPECT:-}" ] && printf '# expect %s\n' $EXPECT
78} >> "$POLICY"
79
80echo "── MODE=$MODE  deps=[${DEPS:-ninguna}]" >&2
81echo "── política: $(grep -c '^ro ' "$POLICY") ro, $(grep -c '^list ' "$POLICY") list, $(grep -c '^rw ' "$POLICY") rw" >&2
82
83NONCE="q2-$$"
84# El canario va en la RAÍZ, no en /tmp: la política concede `rw /tmp` (es el HOME del build), así
85# que un canario ahí caería DENTRO de la clausura, se leería sin problema y no generaría ninguna
86# denegación ⇒ SinEvidencia eterno. El canario tiene que vivir donde la política NO alcanza, por
87# construcción. En el sandbox real la raíz es escribible (`--tmp-overlay /`) y bwrap puede crear
88# ahí el punto de montaje. (Lo cazó el propio D9: el lector se negó a certificar.)
89CANARY="/harkaq-canary-$NONCE"
90CSRC=$(mktemp); echo canario > "$CSRC"
91FIFO=$(mktemp -u); mkfifo "$FIFO"
92VERDICT=$(mktemp)
93trap 'rm -rf "$WORK" "$CSRC" "$FIFO" "$VERDICT"' EXIT
94
95"$BIN/harkaq-audit" --canary "$CANARY" --timeout "${HARKAQ_TIMEOUT:-60}" --ready-fd 3 \
96    3>"$FIFO" >"$VERDICT" &
97AUDIT_PID=$!
98read -r _ < "$FIFO" || true
99
100# El probe del canario usa SÓLO builtins del shell: `read` + redirección. Con `cat` dependía de
101# /bin/cat (otro applet de busybox) y, si no estaba en la clausura, el probe moría sin probar
102# nada — el canario tiene que ser lo más barato e independiente del sistema.
103if [ "$MODE" = configure ]; then
104    BUILD='cd /src && ./configure --prefix=/usr >/tmp/conf.log 2>&1; echo "configure rc=$?"'
105else
106    BUILD='cd /src && zig cc -mcpu=baseline hello.c '"$LDFLAGS"' -o /out/hello && echo BUILD-OK'
107fi
108CMD="read _ < $CANARY || true; $BUILD"
109
110set +e
111bwrap --overlay-src "$ROOTFS" $(for d in $DEPS; do printf -- "--overlay-src %s " "$d"; done) --tmp-overlay / \
112      --proc /proc --dev /dev --tmpfs /tmp \
113      --ro-bind "$ZIG" /opt/zig \
114      --bind "$WORK/src" /src --bind "$WORK/out" /out \
115      --ro-bind "$CSRC" "$CANARY" \
116      --ro-bind "$BIN/harkaq-exec" /tmp/harkaq-exec \
117      --ro-bind "$POLICY" /tmp/harkaq.policy \
118      --chdir /src --unshare-all --die-with-parent \
119      --setenv PATH /opt/zig:/usr/bin:/bin \
120      --setenv HOME /tmp \
121      --setenv CC "zig cc -mcpu=baseline" \
122      --setenv CXX "zig c++ -mcpu=baseline" \
123      --setenv AR "zig ar" \
124      --setenv SOURCE_DATE_EPOCH 1 --setenv LC_ALL C --setenv LANG C --setenv TZ UTC \
125      /tmp/harkaq-exec --policy /tmp/harkaq.policy -- /bin/sh -c "$CMD"
126RC=$?
127set -e
128
129sleep 2
130kill -TERM "$AUDIT_PID" 2>/dev/null || true
131wait "$AUDIT_PID" 2>/dev/null || true
132
133echo "── build rc=$RC" >&2
134scripts/harkaq/harkaq-verdict.py "$VERDICT" "$POLICY" --human