Gesaan dan konteks
Komit yang sama menghasilkan digest binari yang berbeza pada mesin pembangun dan dalam CI. Terangkan cara anda mencari perbezaan tersebut, membetulkan binaan dan membuktikan bahawa pembina bebas boleh menghasilkannya semula.
Ini menguji penyahpepijatan yang sistematik, reka bentuk eksperimen dan sempadan rantaian bekalan. Tandatangan atau penyata asal usul (provenance) boleh menunjukkan siapa yang mendakwa telah membina artifak, tetapi ia tidak secara automatik menunjukkan bahawa dua binaan menghasilkan bait yang serupa.
Perkara yang dinilai oleh penemu duga
Mengecilkan skop perbezaan
Anda harus membekukan komit, kebergantungan, rantai alatan, pemboleh ubah persekitaran dan platform sasaran, kemudian mencari input atau output pertama yang berbeza melalui eksperimen minimum.
Mengenal pasti ketidaktentuan (nondeterminism)
Semak cap masa, susunan fail, benih rawak, laluan, nama hos, perlumbaan selari (parallel races), pemampat dan kunci menandatangani daripada menjalankan semula binaan secara membuta tuli.
Membuktikan pembetulan
Gunakan persekitaran bebas untuk membina secara berulang, bandingkan digest, manifes fail dan artifak perantaraan, serta simpan sampel yang gagal berserta penjelasan.
Mengendalikan sempadan kepercayaan
Bezakan binaan yang boleh dihasilkan semula, tandatangan, SBOM dan asal usul (provenance); setiap jenis bukti menjawab soalan yang berbeza.
Soalan penjelasan untuk ditanya
- Adakah perbezaan berlaku pada satu platform atau merentasi sistem operasi, seni bina dan pengkompil?
- Adakah kebergantungan dikunci dan disemak dengan checksum, atau diselesaikan daripada versi terapung?
- Adakah output merupakan binari, imej bekas, arkib atau artifak dengan maklumat nyahpepijat?
- Adakah keseluruhan digest berbeza, atau hanya sebahagian kecil metadata?
- Adakah binaan membaca masa, kerawakan, laluan, sumber rangkaian atau rahsia?
- Adakah persamaan bait demi bait diperlukan, atau hanya punca dan integriti yang boleh disahkan?
Kerangka jawapan 30 saat
"Saya akan membekukan komit, fail kunci (lockfile), pengkompil, imej asas, seni bina sasaran dan parameter binaan, sambil mengekalkan log lengkap serta manifes artifak. Kemudian saya akan membahagi dua (bisect) saluran paip: membandingkan input, output pra-pemproses, fail objek dan pembungkusan akhir, bermula dengan cap masa, susunan, kerawakan, laluan dan muat turun rangkaian. Selepas pembetulan, persekitaran bebas akan membina semula secara berulang dan membandingkan digest serta perantaraan utama; persekitaran dan arahan akan direkodkan. Akhir sekali saya akan menggunakan tandatangan atau asal usul (provenance) untuk membuktikan identiti dan punca pembina, tanpa menganggapnya sebagai pengganti bagi kebolehulangan binaan."
Perbincangan mendalam langkah demi langkah
Langkah 1: Bekukan eksperimen
Rekodkan digest komit, fail kunci, checksum pakej, versi pengkompil dan pemaut, imej asas, seni bina sasaran, arahan binaan, pemboleh ubah persekitaran dan akses rangkaian. Bahagikan artifak kepada manifes fail, digest dan metadata.
Langkah 2: Cari perbezaan pertama
Bina semula dalam persekitaran yang bersih dan bandingkan arkib sumber, pepohon kebergantungan, output pra-pemproses, fail objek, output pemaut dan pembungkusan akhir. Peringkat yang mengandungi perbezaan pertama menentukan eksperimen seterusnya.
Langkah 3: Hapuskan varians masa dan susunan
Keluarkan masa semasa, masa pengubahsuaian fail, nama hos binaan dan laluan mutlak. Tetapkan susunan arkib, susunan traversal cincangan (hash), tetapan pemampatan dan locale. Suntik digest komit ke dalam maklumat versi dan bukannya menggunakan masa jam dinding.
Langkah 4: Semak kerawakan dan keselarian
Tetapkan benih rawak, lumpuhkan sumber rawak tersirat dan periksa tugasan selari yang menulis koleksi tidak tersusun atau fail yang terdedah kepada keadaan berlumba (race-prone). Jika kerawakan tidak dapat dihapuskan, rekodkan input rawak yang boleh disahkan dan nyatakan sempadan ketekalan.
Langkah 5: Kunci rantai alatan dan input
Gunakan bekas atau rantai alatan yang dipin dan sahkan pengkompil, kebergantungan serta penjana yang dimuat turun. Elakkan URL terapung, pakej sistem yang tidak dikunci atau tetapan hos yang tiada dalam rekod binaan.
Langkah 6: Hasilkan semula secara bebas dan sekat secara berterusan (gate continuously)
Pastikan ruang kerja atau pembina yang berbeza membina semula daripada input yang sama dan bandingkan digest, manifes serta perantaraan utama. Letakkan semakan binaan dwi (dual-build check) dalam CI; simpan sampel yang gagal, perihalan persekitaran dan kelas perbezaan untuk mengelakkan regresi.
Contoh jawapan yang mantap
"Saya akan mengekalkan komit, fail kunci, rantai alatan, imej asas dan persekitaran yang lengkap, kemudian menentukan sama ada perbezaan hanya terdapat dalam pembungkusan akhir. Dua ruang kerja yang bersih akan membandingkan setiap peringkat saluran paip sehingga fail objek atau pra-pemproses pertama yang berbeza ditemui.
Jika cap masa arkib, susunan fail atau laluan mutlak berbeza, saya akan menggantikan nilai masa jalanan dengan masa komit, susunan yang stabil dan pemetaan laluan. Jika kebergantungan atau pengkompil hanyut, saya akan memin digest mereka dan melarang input rangkaian terapung. Untuk langkah rawak atau selari, saya akan menetapkan benih, menyusun operasi penulisan atau mengurangkan keserentakan.
Selepas membetulkannya, pembina bebas akan berulang kali membandingkan digest akhir dan manifes perantaraan sebelum pintu kawalan (gate) dibenarkan masuk ke fasa pelepasan. Asal usul binaan, tandatangan dan SBOM akan direkodkan secara berasingan untuk menetapkan punca, integriti dan inventori komponen, tanpa mendakwa bahawa ia menyamai kebolehulangan peringkat bait."
Kesilapan biasa
- Menjalankan semula binaan tanpa mengekalkan bukti input, rantai alatan dan persekitaran.
- Hanya membandingkan digest akhir, yang menyembunyikan peringkat yang memperkenalkan perbezaan.
- Mengabaikan susunan fail, locale, zon masa, laluan atau metadata pemampat.
- Menganggap versi kebergantungan sepadan tanpa menyemak bait yang dimuat turun dan imej asas.
- Menganggap tandatangan, SBOM atau asal usul (provenance) sebagai bukti output yang boleh dihasilkan semula.
- Menghasilkan semula pada satu mesin sahaja dan terlepas pandang perbezaan rentas hos, seni bina atau pembina.
- Memadamkan perbezaan semata-mata untuk melepasi pintu kawalan tanpa menjelaskan impak data atau keselamatan.
- Ketiadaan semakan binaan dwi yang berterusan, membolehkan pembetulan mengalami regresi.
Soalan susulan dan jawapan
Susulan 1: Bolehkah menandatangani menyelesaikan isu binaan yang tidak boleh dihasilkan semula?
Tidak. Tandatangan mengikat artifak kepada penandatangan, dan asal usul (provenance) menerangkan dakwaan binaan. Kedua-duanya menambah baik punca dan integriti yang boleh disahkan tetapi tidak menjamin bahawa binaan semula yang bebas akan menghasilkan bait yang serupa.
Susulan 2: Adakah hasilnya mesti serupa bait demi bait?
Pilih berdasarkan ancaman dan pengguna. Binari yang diterbitkan, audit pematuhan atau pengesahan bebas selalunya memerlukan sasaran peringkat bait; jika tidak, nyatakan varians yang dibenarkan dan sediakan punca, manifes serta penjelasan perbezaan.
Susulan 3: Bagaimanakah anda mengendalikan ketidaktentuan pengkompil?
Pin versi dan digest pengkompil serta pemaut dalam rantai alatan yang terkawal. Jika bootstrapping diperlukan, rekodkan input dan artifak pada setiap peringkat serta isytiharkan perkara yang kekal di luar pengesahan.
Susulan 4: Bagaimana jika digest bekas berbeza tetapi fail sepadan?
Huraikan susunan lapisan, cap masa, konfigurasi, label dan metadata pemampatan. Normalkan pembungkusan dan bandingkan semula, sambil mengekalkan digest peringkat fail supaya varians pembungkusan tidak disalah anggap sebagai varians sumber atau binari.
Susulan 5: Bagaimanakah anda mengelakkan semakan kebolehulangan daripada memperlahankan penghantaran?
Jalankan binaan dwi berskala kecil pada get cantuman (merge gates) dan pengesahan rentas pembina yang lebih luas pada waktu malam atau sebelum pelepasan. Guna semula hanya input yang telah disemak digest dalam cache, dan kekalkan artifak perbezaan apabila semakan gagal.