sergio/takana

1# Importada de Alpine aports por `takana import-alpine` (Etapa G). PUNTO DE PARTIDA — pero
2# YA trae los parches de musl de Alpine (lo que un import de nix pierde). Pendiente: el
3# sha256 del tarball (el wrapper lo calcula), y adaptar build/install del shell de abuild.
4name    = "ca-certificates"
5version = "20260611"
6license = "MPL-2.0"
7
8[source]
9tarball = "https://gitlab.alpinelinux.org/alpine/ca-certificates/-/archive/20260611/ca-certificates-20260611.tar.bz2"
10# FIXME sha256: el wrapper lo calcula (Alpine publica sha512). sha512 de Alpine:
11# sha512 = "f473a1111eb508ef5d1096489479dba07db6b0d76ef2b900b3473933d57419429061d83e9c1e881ab61c4b0f17c64859ec74d670da6fc1d83d9b0fa73e1b7d8d"
12sha256  = "32ca73f2e81e2b88dc614f12e1ee04a82b1ec5a8e29d9f359ddf8905a0afcbb0"
13
14[build]
15compiler = "zig-cc"
16target   = "x86_64-linux-musl"
17link     = "static"
18
19# Split de la info de depuración (SDD 23 etapa 4, tanda de HOJAS). Entra en `hash_inputs`.
20strip_debug = true
21flags    = []
22
23# openssl aporta libcrypto.a al overlay del sandbox (/usr/lib) para enlazar c_rehash
24# (`-lcrypto`). El resto del build (mk-ca-bundle.pl → cert.pem → split-ca-bundle.sh) usa
25# el perl + coreutils del rootfs; no requiere el CLI de openssl.
26[deps]
27build = ["binutils", "openssl", "perl"]
28
29[build.phases]
30# de build() de Alpine (traducido; el lab provee $CBUILD/$CHOST — Etapa G Fase 3; revisá --shared para estático):
31compile = '''
32_abuild_phase() {
33make
34}
35_abuild_phase
36'''
37# de package() de Alpine (traducido $pkgdir→/out):
38install = '''
39_abuild_phase() {
40make install DESTDIR="/out"
41
42	(
43		echo "# Automatically generated by ca-certificates-20260611-r$pkgrel"
44		echo "# $(date -ud@$SOURCE_DATE_EPOCH)"
45		echo "#"
46		cd "/out"/usr/share/ca-certificates
47		find . -name '*.crt' | sort | cut -b3-
48	) > "/out"/etc/ca-certificates.conf
49
50	# generate the bundle in similar way as update-ca-certificates would do
51	find -- *.crt | sort | while read -r i; do
52		cat "$i"
53		printf "\n"
54	done > "/out"/etc/ssl/certs/ca-certificates.crt
55
56	mkdir -p "/out"/etc/apk/protected_paths.d
57	cat > "/out"/etc/apk/protected_paths.d/ca-certificates.list <<-EOF
58		-etc/ssl/certs/ca-certificates.crt
59		-etc/ssl/certs/ca-cert-*.pem
60		-etc/ssl/certs/[0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f].[r0-9]*
61	EOF
62
63	cat > "/out"/etc/ca-certificates/update.d/certhash <<-EOF
64		#!/bin/sh
65		exec /usr/bin/c_rehash /etc/ssl/certs
66	EOF
67	chmod +x "/out"/etc/ca-certificates/update.d/certhash
68
69	# ── LOS HASH-LINKS, HECHOS EN EL BUILD (2026-09-14) ──────────────────────────────────────
70	# En Alpine ese hook de arriba lo ejecuta `apk` al instalar. **Acá no lo ejecuta nadie**: takana
71	# proyecta artefactos, no corre post-install. Resultado medido en la caja de producción: el
72	# `curl` de la distro está compilado con `--with-ca-path=/etc/ssl/certs` y SIN CAfile, así que
73	# mira un directorio que sólo tiene el bundle — y **no puede validar ningún certificado**:
74	#
75	#     * CApath: /etc/ssl/certs
76	#     * SSL certificate ... unable to get local issuer certificate (20)
77	#
78	# No falla al construir ni al instalar: falla la primera vez que la caja intenta bajar algo por
79	# HTTPS (`qorpa pull`, `install --repo https://…`, el mirror). Con `--cacert` el mismo curl da
80	# 200, que es la prueba de que los certificados están y lo que falta es el ÍNDICE.
81	#
82	# Se generan acá, donde `c_rehash` y perl existen, y viajan dentro del artefacto.
83	# ⚠ `c_rehash` lo compila e instala ESTA receta (`install -m755 c_rehash /out/usr/bin`), así que
84	# no está en el `PATH` del sandbox: hay que invocarlo por su ruta de destino. La primera versión
85	# lo llamaba por nombre, no lo encontraba, y la guarda de abajo cazó el silencio.
86	# ⚠ Los certificados NO están sueltos en `usr/share/ca-certificates/`: cuelgan de un
87	# subdirectorio (`mozilla/`). El primer intento copiaba `…/ca-certificates/*.crt`, no casaba con
88	# nada, y `c_rehash` sólo encontraba el bundle — que salta con «does not contain exactly one
89	# certificate», que es correcto y parecía el problema cuando el problema era que no había nada
90	# más que mirar.
91	find "/out"/usr/share/ca-certificates -name '*.crt' -exec cp {} "/out"/etc/ssl/certs/ \;
92	"/out"/usr/bin/c_rehash "/out"/etc/ssl/certs || ./c_rehash "/out"/etc/ssl/certs || true
93	# Falla ruidosamente si el rehash no produjo NADA: un capath sin enlaces es exactamente el bug
94	# que esto viene a cerrar, y sellarlo en silencio lo devolvería intacto.
95	n=$(find "/out"/etc/ssl/certs -name '*.0' | wc -l)
96	[ "$n" -gt 0 ] || { echo "ca-certificates: c_rehash no generó hash-links en /etc/ssl/certs" >&2; exit 1; }
97	echo "ca-certificates: $n hash-links en el capath"
98}
99_abuild_phase
100'''