sergio/takana
> Una distribución Linux construida con un laboratorio funcional y hermético en el > sótano, y una terminal mutable, clásica y anárquica en el piso de arriba — diseñada > desde el suelo para que una IA programadora entienda, modifique y co…
takana etapa 5a: los comentarios de las 741 recetas
1# Firefox 154.0 — el navegador. Tercera app de usuario final, y **la cabeza de la familia Gecko**:
2# Waterfox y Zen son forks suyos y reutilizan todo lo de abajo.
3#
4# ══ POR QUÉ 154 Y NO 155, QUE ES LA QUE SIGUE ZEN ══════════════════════════════════════════════
5# Zen declara `"version": "155.0.1"` en su `surfer.json` y Waterfox 6.7 también va por el canal
6# release, así que 155 parecía la base obvia. Se eligió **154** por una razón concreta: **los parches
7# de musl de Alpine son para 154.0**, y son once. Ese es el trabajo de portabilidad que un import de
8# nix pierde y que no conviene rehacer a mano — sin ellos Firefox no compila contra musl.
9#
10# Un Firefox que compila con el set probado vale más que uno con el número correcto que no compila.
11# Y como Firefox se mueve cada cuatro semanas, la paridad exacta con Zen es una cinta de correr: lo
12# que de verdad se reutiliza entre los tres es LA PLATAFORMA (gtk3/nodejs/clang/cbindgen, todo ya en
13# el corpus) y ESTE SET DE PARCHES. Subir a 155 después es un rebase, no un port.
14#
15# ══ TODO BUNDLEADO SALVO GTK3 ══════════════════════════════════════════════════════════════════
16# Alpine usa `--with-system-{icu,nspr,nss,av1,libvpx,webp,libevent,...}`; de ésas el corpus tiene
17# CERO. Firefox trae todas en el árbol, así que se dejan bundleadas: son menos piezas móviles para el
18# primer build, que es exactamente cuando conviene minimizar variables. Cuando alguna de esas
19# librerías tenga receta propia y valga compartirla, el flag se enciende y se re-mide.
20#
21# ══ SIN BRANDING OFICIAL, Y NO ES UN DESCUIDO ══════════════════════════════════════════════════
22# Alpine pone `--enable-official-branding`. Acá NO: el binario lleva once parches, y usar el nombre y
23# el logo de Firefox sobre un build modificado entra en la política de marcas de Mozilla — es
24# literalmente la historia de Iceweasel en Debian. Con el branding `unofficial` el navegador es el
25# mismo software y nadie tiene que pedir permiso a nadie. Es la misma cautela que la receta de
26# `dejavu-fonts-nerd` ya aplicó con la licencia de Bitstream Vera: **una fuente modificada no puede
27# llamarse como la original, y un navegador parcheado tampoco.**
28#
29# ══ WAYLAND-ONLY, HEREDADO DE GTK3 ═════════════════════════════════════════════════════════════
30# `--enable-default-toolkit=cairo-gtk3-wayland`. Nuestro GTK3 se construyó con `-Dx11_backend=false`
31# ⇒ este Firefox **no puede correr como cliente X11 ni bajo Xwayland**. Bajo Wayland nativo sí. Está
32# escrito en `recipes/gtk3.toml` y se repite acá porque es lo primero que alguien va a preguntar.
33#
34# ══ HERMÉTICO: NADA DE RED DURANTE EL BUILD ════════════════════════════════════════════════════
35# --disable-bootstrap su trabajo ES descargar toolchains. Prohibido.
36# MACH_BUILD_PYTHON_NATIVE_PACKAGE_SOURCE sin esto `mach` arma un virtualenv con `pip` y sale a
37# =system la red. Con `system` usa lo que ya está.
38# MOZBUILD_STATE_PATH por defecto escribe en `$HOME`, que en el sandbox no es
39# suyo; se apunta al árbol de build.
40# Los crates de Rust vienen VENDORIZADOS en el tarball (`third_party/rust`) ⇒ cargo no baja nada.
41#
42# ══ LO DEMÁS QUE SE APAGA ══════════════════════════════════════════════════════════════════════
43# --disable-jemalloc musl trae su propio allocator; jemalloc encima es la receta del
44# cuelgue clásico de Firefox en Alpine.
45# (YA NO --without-wasm- RLBox ENCENDIDO desde 2026-09-06 (SDD 26, unidad 3.b). El flag que
46# sandboxed-libraries) estaba acá apagaba la jaula wasm que envuelve a los parsers de
47# fuentes y medios —graphite, ogg, expat, woff2—, o sea justo el
48# código que come entrada NO CONFIABLE de la red. Estaba apagado por
49# una razón honesta y ya vencida: «el SDK de WASI no está en ninguna
50# cola». Ahora sí está, y son cuatro recetas nuestras:
51# wasi-libc-headers → wasi-compiler-rt → wasi-libc → wasi-sdk
52# Se reemplaza por `--with-wasi-sysroot`, que es LITERALMENTE lo que
53# pasa Alpine (verificado contra su mozconfig el 2026-09-06), a la
54# misma ruta donde instala nuestro `wasi-libc`.
55# --disable-crashreporter manda telemetría a Mozilla; además pide breakpad.
56# --disable-updater la distro actualiza por takana, no por un updater propio.
57# --disable-tests no entran al artefacto.
58# (SIN --enable-linker) Se deja que Firefox detecte solo. Con `zig-cc` esto era
59# OBLIGATORIO —zig se anuncia como `zig ld 0.16.0` y el sondeo de
60# `toolchain.configure` clasifica por esa cadena buscando
61# «mold»/«GNU ld»/«GNU gold»/«LLD»— y **pedir el linker por nombre
62# vuelve FATAL cualquier fallo del sondeo**. Con gcc el linker sí se
63# anuncia como «GNU ld», así que el flag ya no haría daño; se deja
64# fuera igual porque no aporta nada y una perilla menos es una
65# diferencia menos entre esta receta y las de Waterfox y Zen.
66# ══ ⚠ DEUDA ANOTADA Y NO BARRIDA: EL LANZADOR PIERDE AV1 ═══════════════════════════════════════
67# El lanzador que esta receta escribe en `/out/usr/bin/firefox` pone `/usr/lib/firefox` UNA sola vez
68# en `LD_LIBRARY_PATH`, o sea primero — y **Gecko se come el primer elemento al lanzar el proceso
69# RDD**, el que decodifica vídeo. Consecuencia medida en `atuq`, que tenía el lanzador idéntico: el
70# RDD no encuentra el ffvpx bundleado (`FFVPX: Link result: NoProvidedLib`), se cae al ffmpeg del
71# sistema, y **AV1 no reproduce** —el decodificador `av1` de ffmpeg es sólo hwaccel— sin un error,
72# sin un NEEDED faltante y sin una cadena ausente. El arreglo es poner el appdir DOS VECES; está
73# hecho y probado en `recipes/atuq/bin/atuq`, con guardián en `scripts/test-atuq-codecs.sh`.
74#
75# **Acá NO se aplica todavía, a propósito.** El lanzador vive dentro de la fase `install` ⇒ tocarlo
76# mueve el `ArtifactHash` y obliga a reconstruir firefox entero (LTO+PGO, ~4 h en el worker, OOM en
77# gioser) y con él `atuq`. Y ningún perfil declara `firefox`: el navegador que se shipea es `atuq`,
78# que ya está arreglado, así que hoy el bug es LATENTE. Se paga en el próximo re-hash de esta receta
79# por cualquier otro motivo — que es cuando cuesta cero. Si alguien shipea `firefox` antes de eso,
80# se paga ahí mismo. Ver SDD 26 §6.11.
81
82# ⚠ EL JARLOG SE PROBÓ, FUNCIONA, Y ESTÁ APARCADO CON LA EVIDENCIA MEDIDA (2026-09-08).
83# Se generó (`MOZ_JAR_LOG_FILE` en el entorno; NO hace falta la extensión `Quitter` de Mozilla, que
84# el SDD daba por bloqueante), entró en el build, y se verificó del lado del artefacto: el `libxul`
85# quedó IDÉNTICO byte a byte y sólo cambió el `omni.ja`. O sea que la función existe.
86#
87# Pero **convierte el `omni.ja` al formato «jar optimizado» de Mozilla**, que mueve el directorio
88# central al principio:
89#
90# sin jarlog: PK\003\004 ZIP estándar — `zipfile` lo abre, 5306 entradas
91# con jarlog: \376\204#\0 `zipfile` lo rechaza: BadZipFile
92#
93# Y eso ROMPE `atuq`, que reempaqueta el `omni.ja` con `zipfile` para su branding:
94# `zipfile.BadZipFile: Bad magic number for central directory` en `rebrand.py`.
95#
96# La cuenta es asimétrica y por eso se aparca: el COSTE está MEDIDO —el navegador propio de la
97# distro no se puede construir— y el BENEFICIO no. El banco corre con caché de página caliente, que
98# es donde reordenar el `omni.ja` no ahorra ninguna lectura, y dio −0,1 %: por debajo del suelo de
99# ruido del propio banco (~1 % entre corridas de días distintos). Cambiar algo que funciona por una
100# ganancia que no se pudo medir, rompiendo algo que sí funcionaba, es mal negocio.
101#
102# Se retoma cuando (1) se mida el arranque EN FRÍO, que es su terreno, y (2) `rebrand.py` sepa leer
103# el jar optimizado o des-optimizarlo antes. **El blob `92497cdd…` del mirror YA TRAE el jarlog**,
104# así que retomarlo no exige volver a perfilar: es cambiar una línea y re-pinear el sha256.
105#
106name = "firefox"
107version = "154.0"
108license = "MPL-2.0"
109
110[source]
111# Tarball de RELEASE de Mozilla: fichero SUBIDO por upstream, sha256 estable y publicado en su
112# SHA256SUMS. No es un `/archive/<tag>` de forja, que se genera al vuelo (ver `recipes/mbedtls.toml`).
113tarball = "https://ftp.mozilla.org/pub/firefox/releases/154.0/source/firefox-154.0.source.tar.xz"
114sha256 = "36cec5b3688a60f78a6d20dcaee15b598f84e03c66f6587056aead6cb498b99a"
115# Los once de musl del APKBUILD de Alpine (community/firefox). NO se traen los suyos de ppc64le,
116# loongarch ni Android: no aplican a x86_64 y cada parche que no hace falta es una forma más de que
117# un rebase falle sin motivo.
118patches = [
119 "firefox-patches/lfs64.patch",
120 "firefox-patches/time64.patch",
121 "firefox-patches/musl-no-linux-prctl.patch",
122 "firefox-patches/fix-fortify-system-wrappers.patch",
123 "firefox-patches/fix-rust-target.patch",
124 "firefox-patches/sandbox-sched_setscheduler.patch",
125 "firefox-patches/abseil-cpp.patch",
126 "firefox-patches/glean-stub.patch",
127 "firefox-patches/rust-lto-thin.patch",
128 "firefox-patches/wasip1.patch",
129 "firefox-patches/widevine.patch",
130]
131
132[build]
133# ══ `clang` — Y POR QUÉ YA NO ES `gcc` (2026-09-05) ════════════════════════════════════════════
134# HISTORIA: esta receta nació con `compiler = "gcc"` porque con zig-cc el configure de Firefox murió
135# tres veces seguidas. Los tres muros eran REALES y siguen siéndolo para zig:
136#
137# 1. «Could not use lld as linker» — zig se identifica como `zig ld 0.16.0` y el sondeo de Mozilla
138# clasifica por esa cadena buscando «LLD»/«GNU ld»/«GNU gold».
139# 2. «Cannot find ar» — zig trae `ar` como SUBCOMANDO y `check_prog` busca un ejecutable.
140# 3. «Firefox does not support linking statically with libstdc++» — `flags.configure:79` compila un
141# C++ mínimo, lo pasa por `llvm-objdump --private-headers` y exige un `NEEDED` de la stdlib de
142# C++. zig enlaza libc++ ESTÁTICA para musl, así que ese NEEDED no existe nunca.
143#
144# gcc satisfacía los tres, pero al precio de quedar FUERA de la cadena de optimización de Gecko:
145# **PGO, LTO y BOLT son cadena de clang en Firefox** (`--enable-lto=cross` quiere clang+lld,
146# `--enable-profile-use=cross` espera `-fprofile-instr-use`). Con gcc no hay perilla que encender.
147# Medido contra el APKBUILD de `community/firefox` de aports —nuestro propio upstream, de donde
148# salen los once parches de musl— y contra el PKGBUILD de Arch: **las dos hacen LTO y PGO**. No
149# estábamos adelante de nadie; estábamos atrás, y la puerta era el compilador.
150#
151# clang RESUELVE LOS TRES MUROS SIN PERDER NADA:
152# 1. `--enable-linker=lld` + `lld` en el lab (añadido a `bootstrap-devfs.sh` el 2026-09-05).
153# 2. `AR=llvm-ar` lo pone takana solo con `compiler="clang"` (takana-build/src/lib.rs), y la suite
154# `llvm-*` está expuesta en `/usr/bin` por el paso 3a-ter del bootstrap.
155# 3. clang++ de Alpine usa la `libstdc++` COMPARTIDA de gcc ⇒ el `NEEDED` existe. La prueba no es
156# teórica: Alpine construye este mismo Firefox con clang22 y **sin** `libcxx` en sus makedepends.
157#
158# El lab ya traía `clang22`/`llvm22` 22.1.8 (la MISMA major que usa Alpine: `_llvmver=22`), así que
159# esto no costó una receta de LLVM: costó `apk add lld`.
160#
161# ⚠ EL PRECIO, ESCRITO: el toolchain del lab SÍ entra en `hash_inputs` desde el 2026-08-10
162# (`takana-core/src/lab.rs`), pero **`lld` no casa ningún prefijo de `TOOLCHAIN_PREFIXES`** ⇒ su
163# versión NO está en la huella. Eso es lo que permitió añadirlo sin re-hashear los 837 artefactos
164# sellados —medido: la huella no se movió—, y a la vez deja un agujero que sólo expone a las recetas
165# `compiler="clang"`, que hoy es ésta. Cerrarlo cuesta un re-hasheo del corpus entero.
166compiler = "clang"
167target = "x86_64-linux-musl"
168link = "dynamic"
169flags = []
170# ══ `strip_debug`: SIN ESTO EL ARTEFACTO SERÍA INMANEJABLE ═════════════════════════════════════
171# Medido en el `nodejs` que acaba de sellar sin strip: su binario pesa **984 MB, de los cuales
172# `.debug_info` son 497 MB y `.debug_line` otros 43** — más de la mitad del artefacto es información
173# de depuración. Firefox es varias veces V8, así que sin strip su artefacto entraría en varios GB, y
174# el store no es sólo disco: se sincroniza hub↔worker y se respalda.
175#
176# Es además el hallazgo del SDD 23: el 79% del contenido binario del store era `.debug_*`, y quitarlo
177# hace que artefactos que no reproducían PASEN a reproducir, porque lo que difería eran las rutas del
178# árbol de build embebidas en esas secciones.
179#
180# Entra en `hash_inputs` A PROPÓSITO (cambia el contenido del artefacto), y usa `zig objcopy`, que
181# siempre está en el sandbox ⇒ no agrega una dep de build.
182strip_debug = true
183# ══ `MOZ_BUILD_DATE`: SIN ESTO EL ARTEFACTO NO REPRODUCE ══════════════════════════════════════
184# El `BuildID` de `application.ini` es, por defecto, la FECHA Y HORA del build. Medido en el
185# artefacto sellado del 2026-09-05: `BuildID=20260905035306`. Dos construcciones de esta misma
186# receta, con el mismo ArtifactHash, producían bytes distintos — justo el agujero que el invariante
187# de reproducibilidad existe para cerrar, y que `build-state.json` no puede ver porque el hash es
188# input-addressed y no se mueve por esto.
189#
190# El valor sale de `SOURCE_DATE_EPOCH`, que el sandbox de takana YA fija a 1 para todas las recetas.
191# Es mejor que una constante escrita a mano: usa el mecanismo de hermeticidad que ya existe, en vez
192# de inventar un segundo. Alpine hace exactamente lo mismo en su APKBUILD.
193
194[build.phases]
195configure = '''
196export MOZBUILD_STATE_PATH="$PWD/.mozbuild"
197export MACH_BUILD_PYTHON_NATIVE_PACKAGE_SOURCE=system
198export MOZ_NOSPAM=1
199# ── RUST_TARGET: lo EXIGE el parche de Alpine, no Firefox ─────────────────────────────────────
200# `fix-rust-target.patch` REEMPLAZA la autodetección del triple de Rust por un
201# `os.environ['RUST_TARGET']` pelado. Sin la variable, configure muere con
202# `KeyError: 'RUST_TARGET'` — que se lee como un bug de Firefox y es en realidad el contrato del
203# parche: el APKBUILD de Alpine lo exporta como `$CTARGET` y acá hay que hacer lo propio.
204# El valor NO se adivina: sale de `ls .dev-fs/alpine/usr/lib/rustlib/` en el lab, que es
205# `x86_64-alpine-linux-musl` — el rustc del sandbox es el de Alpine, no el del host (el del host es
206# `x86_64-unknown-linux-gnu` y usarlo produciría un cross-compile silencioso).
207export RUST_TARGET=x86_64-alpine-linux-musl
208
209# ── `MOZ_REQUIRE_SIGNING=0`: SIN ESTO LA DISTRO NO PUEDE SHIPEAR NI UNA EXTENSIÓN PROPIA ──────
210# Firefox exige que todo XPI esté firmado por Mozilla. La pref `xpinstall.signatures.required` NO
211# alcanza: se ignora cuando la exigencia viene COMPILADA, y viene compilada porque el default de
212# `MOZ_REQUIRE_SIGNING` sale del MILESTONE (154.0 es release), no del canal de actualización — el
213# nuestro es `default`, y aun así estaba activa.
214#
215# Medido, no deducido: con el autoconfig ejecutándose de verdad (testigo `atuq.autoconfig.ok=true`
216# en el perfil) y `lockPref("xpinstall.signatures.required", false)` puesta, la instalación por
217# política seguía muriendo con `ERROR_SIGNEDSTATE_REQUIRED`.
218#
219# ⚠ EL PRECIO, ESCRITO: este Firefox —y por herencia `atuq`— deja de exigir la firma de Mozilla
220# para CUALQUIER complemento, no sólo los nuestros. La alternativa real es firmar en AMO, que pide
221# cuenta y revisión de Mozilla por cada versión: exactamente la dependencia externa que esta distro
222# existe para no tener. Es la misma postura que ya tomaba `--with-unsigned-addon-scopes`, llevada
223# hasta donde de verdad hace falta.
224# ⚠ SE DESACTIVA CON EL VALOR VACÍO, NO CON CERO. `MOZ_REQUIRE_SIGNING=0` muere con
225# «InvalidOptionError: MOZ_REQUIRE_SIGNING takes 0 values», porque es una bandera booleana y el `0`
226# es un VALOR que no acepta. La semántica está en el propio parser de mozbuild
227# (`python/mozbuild/mozbuild/configure/options.py`), y no se dedujo: se leyó del tarball —
228# if values == ("",): return NegativeOptionValue() ⇒ VAR= (vacío) DESACTIVA
229# if values == ("1",): return PositiveOptionValue() ⇒ VAR=1 activa
230# El `export` con valor vacío es lo que hace llegar la variable PRESENTE y vacía; desexportarla la
231# dejaría sin definir y volvería al default, que acá es «exigir firma».
232export MOZ_REQUIRE_SIGNING=
233export MOZ_BUILD_DATE="$(date -u -d "@${SOURCE_DATE_EPOCH:-1}" +%Y%m%d%H%M%S)"
234
235# ── LOS PARCHES ROMPEN EL CHECKSUM DE LOS CRATES VENDORIZADOS ─────────────────────────────────
236# `error: the listed checksum of third_party/rust/zeitstempel/src/unix.rs has changed`. Los crates
237# de Rust vienen VENDORIZADOS en el tarball y cargo verifica el sha de CADA fichero contra
238# `.cargo-checksum.json`; en cuanto un parche de musl toca uno, el build muere. Cargo no ofrece
239# ninguna forma de recalcularlo, así que la salida —la misma del APKBUILD de Alpine— es vaciar la
240# lista de ficheros del manifiesto, dejando el checksum del paquete.
241#
242# Son los CINCO crates que tocan los parches, no uno: el error los va destapando de a uno y buscarlos
243# por prueba y error costaría cinco vueltas de configure.
244for c in audio_thread_priority cc zeitstempel wgpu-hal alsa; do
245 f="third_party/rust/$c/.cargo-checksum.json"
246 [ -f "$f" ] || { echo "FALTA $f — ¿upstream movió el crate?" >&2; exit 1; }
247 sed -i 's/\("files":{\)[^}]*/\1/' "$f"
248done
249cat > .mozconfig <<'MOZ'
250ac_add_options --prefix=/usr
251ac_add_options --enable-application=browser
252ac_add_options --enable-default-toolkit=cairo-gtk3-wayland
253ac_add_options --enable-release
254ac_add_options --enable-optimize
255ac_add_options --enable-hardening
256# ── LA CADENA DE OPTIMIZACIÓN (2026-09-05) ────────────────────────────────────────────────────
257# Las tres primeras son lo que Alpine y Arch ya hacían y nosotros no. `--enable-linker=lld` además
258# resuelve el muro 1 del sondeo de linker (ver el bloque [build]).
259ac_add_options --enable-linker=lld
260ac_add_options --enable-lto=cross
261ac_add_options --enable-packed-relative-relocs
262# ── LO QUE HABILITA A `atuq` (SDD 26) ─────────────────────────────────────────────────────────
263# Sin esto un Firefox de release rechaza las extensiones que la distro deja en
264# `distribution/extensions/`. Es flag de CONFIGURE, o sea que NO se puede resolver en el overlay del
265# artefacto derivado: la capacidad de `atuq` de shipear sus propias extensiones (el `sct` v1) se
266# decide acá, en la base. Alpine pasa exactamente este flag y por el mismo motivo.
267ac_add_options --with-unsigned-addon-scopes=app,system
268ac_add_options --with-branding=browser/branding/unofficial
269ac_add_options --with-libclang-path=/usr/lib
270ac_add_options --disable-bootstrap
271ac_add_options --disable-jemalloc
272ac_add_options --disable-crashreporter
273ac_add_options --disable-updater
274ac_add_options --disable-tests
275ac_add_options --disable-debug
276ac_add_options --disable-debug-symbols
277ac_add_options --disable-strip
278ac_add_options --disable-install-strip
279ac_add_options --disable-cargo-incremental
280ac_add_options --enable-profile-use=cross
281ac_add_options --with-pgo-profile-path=/usr/share/firefox-pgo/merged.profdata
282ac_add_options --with-wasi-sysroot=/usr/share/wasi-sysroot
283ac_add_options --enable-alsa
284ac_add_options --enable-pulseaudio
285ac_add_options --enable-dbus
286ac_add_options --enable-ffmpeg
287mk_add_options MOZ_OBJDIR=@TOPSRCDIR@/objdir
288MOZ
289# ── POR QUÉ AQUÍ NO HAY PGO TODAVÍA ───────────────────────────────────────────────────────────
290# PGO es la otra mitad de la ganancia (LTO solo rinde menos que LTO+PGO) y NO entra en esta pasada
291# por dos muros que las distros no tienen, porque no persiguen lo que nosotros perseguimos:
292# 1. El perfil se junta CORRIENDO el navegador. Alpine y Arch lo hacen bajo `xvfb-run`; nosotros
293# NO tenemos X11 en el corpus (la distro es Wayland-only) ⇒ el camino es un sway headless.
294# 2. El `profdata` NO es determinista (los contadores dependen del timing) ⇒ si se generara aquí,
295# cada build sellaría bytes distintos. La salida es generarlo UNA vez, sellarlo como artefacto
296# propio y consumirlo por hash desde `[deps]`.
297# Es su propia unidad de trabajo (SDD 26 §3.ter). Cuando llegue, además trae el `jarlog`, que ordena
298# el `omni.ja` para el arranque — y eso condiciona cómo `atuq` puede re-empacarlo.
299#
300# ── ThinLTO Y LA MEMORIA ──────────────────────────────────────────────────────────────────────
301# El enlace ThinLTO abre un trabajo por hilo y cada uno carga bitcode: sin capar, el link es lo
302# primero que muere por OOM en una máquina de 16 GiB. Se capa con la MISMA cuenta que `-j` y por la
303# misma razón que ella no es un número fijo: un literal ataría el ArtifactHash a la RAM de quien
304# escribió la receta (ver la nota de la fase compile).
305# ⚠ Si algún día dos máquinas con distinto `nproc` sellan bytes distintos, el primer sospechoso es
306# este flag — ThinLTO se diseñó determinista respecto al número de trabajos, pero es una promesa
307# de upstream, no algo que hayamos medido acá.
308gib=$(awk "/MemTotal/{printf \"%d\", \$2/1024/1024}" /proc/meminfo)
309jl=$(( gib / 3 )); [ "$jl" -lt 1 ] && jl=1
310n=$(nproc); [ "$jl" -gt "$n" ] && jl=$n
311export LDFLAGS="${LDFLAGS:-} -Wl,--thinlto-jobs=$jl"
312echo "ThinLTO con --thinlto-jobs=$jl (MemTotal ${gib} GiB, nproc $n)"
313./mach configure
314'''
315# `mach build` respeta -jN; la cuenta es la misma que en nodejs.toml y por el mismo motivo: un número
316# fijo ataría el ArtifactHash a la RAM de quien escribió la receta.
317# ⚠ OJO con el techo: dentro del sandbox `/proc/meminfo` NO muestra la memoria del contenedor sino la
318# del host (medido en el LXC: 186 GiB en vez de 16), así que en un contenedor esta cuenta se degrada
319# a `nproc`. Es un tope, no una garantía.
320compile = '''
321export RUST_TARGET=x86_64-alpine-linux-musl # ver la nota en la fase configure
322# ⚠ `MOZ_REQUIRE_SIGNING` TAMBIÉN ACÁ, Y NO ES REDUNDANCIA. Las fases son shells distintos y
323# `mach build` re-ejecuta el configure cuando lo cree necesario: exportarla sólo en la fase
324# `configure` produjo un artefacto con `MOZ_REQUIRE_SIGNING: true` pese a que el configure la
325# aceptó — 50 minutos de build para descubrirlo al abrir el navegador. Es exactamente la razón por
326# la que `RUST_TARGET` se repite en las tres fases.
327export MOZ_REQUIRE_SIGNING=
328export MOZ_BUILD_DATE="$(date -u -d "@${SOURCE_DATE_EPOCH:-1}" +%Y%m%d%H%M%S)" # ídem: ver configure
329export MOZBUILD_STATE_PATH="$PWD/.mozbuild"
330export MACH_BUILD_PYTHON_NATIVE_PACKAGE_SOURCE=system
331export MOZ_NOSPAM=1
332gib=$(awk "/MemTotal/{printf \"%d\", \$2/1024/1024}" /proc/meminfo)
333j=$(( gib / 3 )); [ "$j" -lt 1 ] && j=1
334n=$(nproc); [ "$j" -gt "$n" ] && j=$n
335echo "mach build -j$j (MemTotal ${gib} GiB, nproc $n)"
336./mach build -j"$j"
337'''
338install = '''
339export RUST_TARGET=x86_64-alpine-linux-musl # ver la nota en la fase configure
340export MOZ_REQUIRE_SIGNING= # ídem
341export MOZ_BUILD_DATE="$(date -u -d "@${SOURCE_DATE_EPOCH:-1}" +%Y%m%d%H%M%S)" # ídem
342export MOZBUILD_STATE_PATH="$PWD/.mozbuild"
343export MACH_BUILD_PYTHON_NATIVE_PACKAGE_SOURCE=system
344DESTDIR=/out ./mach install
345
346# ── GUARDIÁN: QUE LA BANDERA HAYA LLEGADO AL ARTEFACTO, NO AL CONFIGURE ───────────────────────
347# `MOZ_REQUIRE_SIGNING` es una bandera que el configure acepta sin ruido y que aun así puede acabar
348# en `true` dentro del artefacto (pasó: la exportábamos sólo en `configure`). El síntoma aparece
349# lejísimos —al intentar instalar una extensión de la distro, en otra receta, tras 50 minutos de
350# build— y no menciona la bandera por ningún lado. Se comprueba donde de verdad importa: en el
351# `AppConstants` que va DENTRO de omni.ja.
352python3 - <<'PY'
353import sys, zipfile
354z = zipfile.ZipFile("/out/usr/lib/firefox/omni.ja")
355n = [x for x in z.namelist() if x.endswith("AppConstants.sys.mjs")]
356if not n:
357 sys.exit("guardián: no encontré AppConstants.sys.mjs en omni.ja")
358t = z.read(n[0]).decode("utf-8", "replace")
359if "MOZ_REQUIRE_SIGNING: false" not in t:
360 sys.exit("guardián: MOZ_REQUIRE_SIGNING NO quedó en false — la distro no podría "
361 "instalar ninguna extensión propia. Revisá que la variable se exporte en TODAS "
362 "las fases (son shells distintos y mach re-ejecuta configure).")
363print("guardián: MOZ_REQUIRE_SIGNING = false en el artefacto")
364PY
365
366# ── GUARDIÁN: QUE EL BuildID NO SEA UNA FECHA ────────────────────────────────────────────────
367# Mismo razonamiento que el de arriba, y el mismo modo de fallo: si `MOZ_BUILD_DATE` no llega, el
368# BuildID vuelve a ser la hora del build y el artefacto deja de reproducir SIN QUE NADA LO DIGA —
369# el ArtifactHash es input-addressed y no se mueve por esto, así que `build-state.json` seguiría en
370# verde. Se comprueba contra el valor que `SOURCE_DATE_EPOCH=1` obliga.
371esperado="$(date -u -d "@${SOURCE_DATE_EPOCH:-1}" +%Y%m%d%H%M%S)"
372real="$(sed -n 's/^BuildID=//p' /out/usr/lib/firefox/application.ini)"
373if [ "$real" != "$esperado" ]; then
374 echo "guardián: BuildID=$real y esperaba $esperado — el artefacto NO reproduce." >&2
375 echo " Revisá que MOZ_BUILD_DATE se exporte en TODAS las fases." >&2
376 exit 1
377fi
378echo "guardián: BuildID = $real (determinista, de SOURCE_DATE_EPOCH)"
379
380# ── GUARDIÁN: QUE RLBOX ESTÉ EN EL BINARIO, NO SÓLO EN EL CONFIGURE ───────────────────────────
381# Tercera repetición de la misma lección, y por eso nace junto con la bandera en vez de después:
382# `--with-wasi-sysroot` es exactamente la clase de opción que el configure acepta sin chistar y
383# que puede no llegar al artefacto. Ya pasó dos veces en ESTA receta (`MOZ_REQUIRE_SIGNING` y
384# `MOZ_BUILD_DATE`), y acá el fallo sería el más caro de todos: un firefox que dice tener
385# enjaulados los parsers de fuentes y medios —el código que come entrada NO confiable de la red—
386# y no los tiene. Una promesa falsa de seguridad es peor que no ofrecerla.
387#
388# QUÉ SE MIRA. RLBox compila esas librerías a wasm y las traduce a C con wasm2c, que deja su
389# rastro en los símbolos de `libxul.so`. El discriminante está MEDIDO, no supuesto: sobre el
390# artefacto `b3:352d7880` (el último con RLBox APAGADO, 224 MB de libxul) los tres patrones dan
391# CERO, así que cualquiera de ellos apareciendo significa que la jaula entró de verdad.
392# Se aceptan los tres y no sólo `w2c_` a propósito: el prefijo exacto es un detalle de la versión
393# de wasm2c, y un guardián que falla por un cambio de convención de nombres tira 4 h de build por
394# algo que no está roto. Lo que NO puede pasar desapercibido es que los tres sigan en cero.
395X=/out/usr/lib/firefox/libxul.so
396test -f "$X" || { echo "!! no hay libxul.so en el artefacto" >&2; exit 1; }
397n_w2c=$(llvm-nm --defined-only "$X" 2>/dev/null | grep -c " w2c_" || true)
398n_rlb=$(llvm-nm "$X" 2>/dev/null | grep -ci rlbox || true)
399n_w2n=$(llvm-nm "$X" 2>/dev/null | grep -ci wasm2c || true)
400if [ $((n_w2c + n_rlb + n_w2n)) -eq 0 ]; then
401 echo "!! RLBOX NO LLEGÓ AL BINARIO: libxul.so no tiene NI UN símbolo w2c_/rlbox/wasm2c." >&2
402 echo " El configure aceptó --with-wasi-sysroot pero el sandbox wasm no se construyó." >&2
403 echo " Mirá si las deps wasi-libc / wasi-compiler-rt / wasi-sdk llegaron al sandbox y si" >&2
404 echo " /usr/share/wasi-sysroot/lib/wasm32-wasip1/libc.a existe durante el build." >&2
405 exit 1
406fi
407# ── EL LANZADOR: SIN ESTO EL ARTEFACTO NO ARRANCA ────────────────────────────────────────────
408# Medido el 2026-09-07 sobre el artefacto SELLADO: `firefox --version` moría con
409#
410# Error loading shared library libnspr4.so: No such file or directory
411# Couldn't load XPCOM.
412#
413# `mach install` deja `/usr/bin/firefox` como un symlink pelado al binario, el binario NO trae
414# `RUNPATH`, y el cierre no publica `/etc/ld-musl-x86_64.path`. Así que las librerías que viven
415# JUNTO al binario en `/usr/lib/firefox` no las encuentra nadie. `atuq` funcionaba sólo porque su
416# receta añade este mismo lanzador; `firefox`, que va en las CUATRO imágenes de escritorio, no lo
417# tenía. Es la familia del NEEDED colgante un escalón más allá: no falta la librería, falta el modo
418# de encontrarla — y por eso `vigia-sonames.py` no puede verlo, porque las librerías SÍ están en el
419# artefacto y las cuenta como propias.
420#
421# El `LD_LIBRARY_PATH` es además lo que necesitan los procesos HIJOS: firefox lanza uno por pestaña.
422rm -f /out/usr/bin/firefox
423cat > /out/usr/bin/firefox <<'LANZA'
424#!/bin/sh
425LD_LIBRARY_PATH="/usr/lib/firefox${LD_LIBRARY_PATH:+:$LD_LIBRARY_PATH}"
426export LD_LIBRARY_PATH
427exec /usr/lib/firefox/firefox "$@"
428LANZA
429chmod 755 /out/usr/bin/firefox
430test -x /out/usr/bin/firefox || { echo "!! no se creó el lanzador" >&2; exit 1; }
431echo "guardián: lanzador puesto (sin él el artefacto no arranca fuera del lab)"
432
433echo "guardián: RLBox en el binario (w2c_=$n_w2c rlbox=$n_rlb wasm2c=$n_w2n; con RLBox apagado los tres son 0)"
434'''
435
436[deps]
437# ⚠ DEP DE EJECUCIÓN, NO DE BUILD — Y NO ES DECORACIÓN (2026-09-06).
438# Este artefacto declara `NEEDED libstdc++.so.6` / `libgcc_s.so.1`, y hasta hoy NADIE en el corpus
439# las proveía: sólo existían en `.dev-fs/alpine`, o sea en el LAB. El binario sellaba, REPRODUCÍA
440# bit a bit, pasaba todos los guardianes… y no arrancaba fuera del lab. Se descubrió corriendo
441# `atuq` bajo un sway headless, no leyendo el grafo.
442# `runtime` NO entra en el ArtifactHash (igual que `license`), así que declararlo NO re-hashea:
443# lo que cambia es la CLAUSURA, que es lo que se hidrata en la imagen. Lo vigila
444# `scripts/vigia-sonames.py`, que corre en el latido y deja `docs/state/sonames.txt`.
445runtime = ["gcc-libs"]
446build = [
447 "python3", "pkgconf", "nasm", "make", "cmake",
448 # la plataforma Gecko, compartida con los forks (SDD 26)
449 #
450 # ⚠ NI `clang18` NI `llvm18` — Y NO ES UN OLVIDO (2026-09-05) ─────────────────────────────────
451 # Estaban aquí cuando esta receta compilaba con gcc: `clang18` aportaba el `libclang.so` que
452 # bindgen carga en runtime y `llvm18` la suite `llvm-ar`/`llvm-objdump` que Mozilla exige. Con
453 # `compiler = "clang"` se volvieron ACTIVAMENTE DAÑINAS: una dep del corpus se materializa en el
454 # sandbox y **tapa** el binario del lab, así que `/usr/bin/llvm-ar` pasaba a ser el de LLVM 18
455 # mientras el compilador era clang 22. Con ThinLTO encendido los `.o` ya no son objetos sino
456 # BITCODE, y el bitcode no es compatible hacia atrás:
457 #
458 # /usr/bin/llvm-ar: error: …log.o: 'Unknown attribute kind (102)'
459 # (Producer: 'LLVM22.1.8' Reader: 'LLVM 18.1.8')
460 #
461 # El error nombra las DOS versiones, que es lo que lo hace diagnosticable de un vistazo. Es la
462 # misma forma que la lección de los headers UAPI: una dep tapa al lab y el fallo aparece lejos.
463 # El lab ya trae todo lo necesario en la versión correcta —`clang22-libclang` deja
464 # `/usr/lib/libclang.so` y el paso 3a-ter del bootstrap expone la suite `llvm-*` de llvm22 en
465 # `/usr/bin`—, así que la respuesta no es apuntar el AR a mano: es NO traer el 18.
466 # Es además lo que hace Alpine: clang22 + clang22-libclang, sin un segundo LLVM en la mesa.
467 "nodejs", "cbindgen",
468 # Las mismas variantes `-shared` que usa gtk3 (2026-09-05). No es simetría: declarar acá las
469 # ESTÁTICAS junto a un gtk3 que trae las compartidas son dos artefactos peleando por el mismo
470 # `lib/pkgconfig/pango.pc` y las mismas cabeceras, que es la otra forma conocida de este mismo
471 # fallo. Van las dos listas al mismo sitio o ninguna.
472 "gtk3", "atk", "gdk-pixbuf-shared", "pango-shared", "cairo-shared", "libepoxy",
473 "glib-shared", "pcre2-shared", "libffi-shared", "zlib-shared",
474 "harfbuzz-shared", "fribidi", "freetype-shared", "fontconfig-shared", "pixman",
475 "libpng-shared", "libjpeg-turbo-shared",
476 "wayland", "wayland-protocols", "libxkbcommon", "mesa", "libdrm",
477 "dbus", "pipewire", "pulseaudio", "alsa-lib",
478 "libxml2-shared", "linux-headers",
479 # ── LA CADENA WASM DE RLBOX (SDD 26 §3.b) ──────────────────────────────────────────────────────
480 # Van las TRES, y no es redundancia: las deps de takana NO son transitivas. En el `bwrap` sólo se
481 # apilan como overlay las que están escritas acá; declarar sólo `wasi-sdk` NO arrastra al
482 # `wasi-libc` que necesita, y el fallo sería el peor de los posibles — el sysroot no existiría y
483 # el error saldría a las horas, hablando de un header de wasm que no nombra a ninguna receta.
484 #
485 # wasi-libc el sysroot en sí (`/usr/share/wasi-sysroot`), que es lo que apunta el flag
486 # wasi-compiler-rt los builtins (`libclang_rt.builtins-wasm32.a`) SIN LOS CUALES NO ENLAZA
487 # nada a wasm; aterrizan en el resource dir del clang del lab
488 # wasi-sdk el `.cfg` de `/etc/clang22`, que hace el sysroot invisible para quien no
489 # pasa el flag. Con `--with-wasi-sysroot` explícito es cinturón Y tirantes:
490 # se declara igual porque es lo que hace Alpine y porque cuesta 28 K.
491 # wasi-libcxx libc++ y libc++abi para wasm32. NO es opcional: las librerías que RLBox
492 # enjaula no son todas C (graphite2 es C++) y sin esto el configure muere a
493 # los 6 segundos con «'cstring' file not found», culpando a los headers de
494 # WASI, que están perfectos. Es el hueco que este build encontró.
495 "wasi-libc", "wasi-libcxx", "wasi-compiler-rt", "wasi-sdk",
496 # El PERFIL de ejecución (SDD 26 §3.a). Es una medición congelada y pineada por sha256, no algo
497 # que se recalcule: ver la cabecera de `recipes/firefox-pgo-profile.toml` para por qué un perfil
498 # generado en cada build rompería la reproducibilidad en vez de darla.
499 #
500 # ⚠ SIN `--with-pgo-jarlog`, Y ES UNA MITAD QUE FALTA, NO UN OLVIDO. Alpine pasa además un
501 # `jarlog` que reordena `omni.ja` para acelerar el ARRANQUE. Ese fichero lo emite el
502 # `profileserver.py` de Mozilla usando su extensión `Quitter`, que nuestra corrida headless no
503 # tiene. O sea que hoy se gana la disposición de CÓDIGO y no el orden del `omni.ja`. Es su propia
504 # unidad de trabajo y está escrito para que nadie lo lea como «PGO completo».
505 "firefox-pgo-profile",
506]