題幹與適用場景
同一個提交在開發機和 CI 產生了不同的二進位摘要。請說明如何定位差異、修復建置，並證明修復後的建置可以被獨立重現。
題目考察系統化排障、實驗設計和供應鏈邊界。簽名或來源聲明能證明誰聲稱建置了產物，但不會自動證明兩次建置會得到相同位元組。
面試官考察點
縮小差異空間
候選人應固定提交、依賴、工具鏈、環境變數和目標平台，再用最小實驗定位第一個不同輸入或輸出。
識別非確定性
要檢查時間戳、檔案順序、隨機種子、路徑、主機名、平行競態、壓縮器和簽名金鑰，而不是盲目重跑。
證明修復有效
應讓獨立環境多次建置並比較摘要、檔案清單和中間產物，記錄失敗樣本和差異解釋。
處理信任邊界
要區分可重現建置、簽名、SBOM 和 provenance；每種證據回答不同問題。
回答前需要澄清的問題
- 差異發生在同一平台，還是跨作業系統、架構和編譯器？
- 依賴是鎖定版本並帶校驗，還是允許浮動解析？
- 輸出是二進位、容器映像、壓縮包還是包含除錯資訊的產物？
- 差異是整個摘要不同，還是少量中繼資料不同？
- 建置腳本是否讀取時間、亂數、路徑、網路或秘密？
- 需要位元組級一致，還是只需來源和完整性可驗證？
30 秒回答框架
「我先固定提交、依賴鎖定檔、編譯器、基礎映像、目標架構和建置參數，保存完整日誌與產物清單。然後做二分實驗：比較輸入、前處理輸出、物件檔案和最終封裝，優先排查時間戳、檔案順序、隨機性、路徑和網路下載。修復後在兩個獨立環境重複建置，要求摘要和關鍵中間產物一致，並把環境與命令寫入建置記錄。最後用簽名或 provenance 證明建置者和來源，但不把它們當作可重現性的替代品。」
分步驟深入解答
第一步：凍結實驗
記錄提交摘要、依賴鎖定檔、套件校驗、編譯器與連結器版本、基礎映像、目標架構、建置命令、環境變數和網路存取。將產物拆成檔案清單、摘要和中繼資料。
第二步：定位第一個差異
在乾淨環境重複建置，比較原始碼歸檔、依賴目錄、前處理輸出、物件檔案、連結輸出和最終封裝。第一個差異所在階段決定下一輪實驗，而不是只比較最終檔案。
第三步：排查時間和順序
移除目前時間、檔案修改時間、建置主機名和絕對路徑；固定歸檔排序、雜湊遍歷順序、壓縮參數和 locale。為版本資訊注入提交摘要而不是牆上時鐘。
第四步：排查隨機性與平行
固定隨機種子，停用隱式隨機源，檢查平行任務是否寫入無序集合或競態檔案。若不能消除隨機性，記錄可驗證的隨機輸入並明確一致性邊界。
第五步：鎖定工具鏈與輸入
使用鎖定的容器或工具鏈，校驗下載的編譯器、依賴和產生器。避免建置期間存取浮動 URL、未鎖版本的系統套件或未記錄的主機設定。
第六步：獨立重現和持續門禁
讓不同工作區或不同建置器使用同一輸入重複建置，比較摘要、清單和關鍵中間產物。把雙建置差異檢查放進 CI；保留失敗樣本、環境描述和差異分類，防止修復回歸。
高品質示範回答
「我會先保存提交、鎖定檔、工具鏈、基礎映像和完整環境，確認差異是否只在最終封裝。隨後在兩個乾淨工作區做分階段比較，找出第一個不同物件或前處理檔案。
如果差異來自歸檔時間戳、檔案順序或絕對路徑，我會用提交時間、穩定排序和路徑映射替代執行時值；如果來自依賴或編譯器漂移，就鎖定摘要並禁止網路浮動。對隨機和並行部分固定種子、排序寫入或降低並行。
修復後讓獨立建置器重複建置，比較最終摘要和中間清單，連續多次通過後才把門禁接入發布。建置 provenance、簽名和 SBOM 另行記錄，用來證明來源、完整性和元件清單，不宣稱它們等於位元組級重現。」
常見錯誤
- 只重跑建置，不保存輸入、工具鏈和環境證據。
- 直接比較最終摘要，無法知道差異在哪個階段產生。
- 忽略檔案順序、locale、時區、路徑和壓縮器中繼資料。
- 依賴版本看似相同，卻沒有校驗下載內容和基礎映像。
- 把簽名、SBOM 或 provenance 當成可重現建置的證明。
- 只在同一台機器重現，遺漏跨主機、架構和建置器差異。
- 為了通過門禁刪除差異，卻不解釋資料和安全影響。
- 沒有持續雙建置檢查，修復很快回歸。
追問及應對
追問一：簽名能解決不可重現嗎？
不能。簽名綁定產物與簽名者，provenance 描述建置聲明；它們可以提高來源和完整性可驗證性，但不保證獨立重建得到相同位元組。
追問二：必須做到位元組級一致嗎？
先根據威脅和消費者決定。發布二進位、合規稽核或獨立驗證通常需要位元組級目標；若做不到，應明確哪些欄位允許變化，並提供來源、清單和差異解釋。
追問三：如何處理編譯器自身不確定？
固定編譯器和連結器版本與摘要，使用受控工具鏈；若工具鏈需要引導建置，分階段記錄輸入和產物，並把未驗證部分列為信任邊界。
追問四：容器映像摘要不同但檔案相同怎麼辦？
拆解層順序、時間戳、設定、標籤和壓縮中繼資料。規範化封裝後再次比較，同時保留檔案級摘要，避免把封裝差異誤判為原始碼或二進位差異。
追問五：怎樣避免重現檢查拖慢交付？
在合併門禁執行小型雙建置，夜間或發布前執行跨建置器驗證；快取只復用經過摘要校驗的輸入，失敗時保留差異工件供定位。