sergio/takana

1#!/bin/sh
2# repo-perfil.sh — publica en un REPOSITORIO FIRMADO la clausura entera de un perfil de
3# `targets.toml`, y verifica la firma antes de darla por buena.
4#
5# ── EN QUÉ SE DIFERENCIA DE `build-repo.sh` ─────────────────────────────────────────────────────
6# `build-repo.sh` recorre las 869 recetas del corpus con `cargo run` por cada una: sirve para el
7# dogfood del corpus completo, no para publicar UNA imagen. Acá el conjunto sale de la misma fuente
8# que la imagen —`yupana.membresia()` sobre `targets.toml`— así que **el repo y la imagen no pueden
9# divergir**: son la misma lista.
10#
11# ── LA CLAVE NO SE INVENTA ──────────────────────────────────────────────────────────────────────
12# `build-repo.sh` genera una clave EFÍMERA si no se le pasa `KEY=`. Un índice firmado con una clave
13# que nadie conoce y que cambia en cada corrida no lo verifica nadie: es decoración (SDD 19 §3.2,
14# «la firma sin gestión de claves es teatro»). Acá, si no está la clave, se ABORTA.
15#
16# ── PUBLICAR NO ES CONSTRUIR (2026-09-21) ───────────────────────────────────────────────────────
17# `pack --build` es instantáneo si el artefacto ya está sellado (cache-hit) y una COMPILACIÓN
18# ENTERA si no lo está. Sin acotarlo, «publicá el repo» se convierte en silencio en «ponete a
19# compilar el perfil»: medido acá, la corrida se paró sola en `libnftnl` y se quedó moliendo en una
20# caja de 4 cores que ya estaba a load 46. `build-repo.sh` ya llevaba el `timeout`; esto no, y es el
21# que se corre en producción. Un vencimiento NO es un error: significa «ése no estaba sellado», y el
22# paquete sale sin ancla (o se lo salta, con SKIP_UNSEALED=1).
23#
24# Uso:   ./scripts/repo-perfil.sh [perfil]
25# Env:   PERFIL (def servidor) · STORE (def ./store) · REPO (def dist/repo)
26#        KEY (def ~/.config/takana/keys/release.ed25519) · TRUST (def ./trust) · DISTRO (def dev)
27#        BUILD_TIMEOUT (def 120 s por receta) · SKIP_UNSEALED=1 (no publicar lo que no esté sellado)
28set -eu
29ROOT="$(cd "$(dirname "$0")/.." && pwd)"; cd "$ROOT"
30
31PERFIL="${1:-${PERFIL:-servidor}}"
32STORE="${STORE:-./store}"
33REPO="${REPO:-dist/repo}"
34KEY="${KEY:-$HOME/.config/takana/keys/release.ed25519}"
35TRUST="${TRUST:-./trust}"
36DISTRO="${DISTRO:-dev}"
37BUILD_TIMEOUT="${BUILD_TIMEOUT:-120}"
38SKIP_UNSEALED="${SKIP_UNSEALED:-0}"
39# Overridable: `publicar-repo.sh` comprueba que el binario traiga el arreglo del SDD 28 §5.5 antes
40# de publicar, y esa guarda es mentira si acá se usa otro. Un guion que valida un binario y ejecuta
41# otro es peor que uno sin guarda: da confianza sin darla.
42TAKANA="${TAKANA:-$ROOT/target/release/takana}"
43
44[ -x "$TAKANA" ] || { echo "!! falta $TAKANA (cargo build --release)" >&2; exit 2; }
45[ -r "$KEY" ] || {
46    echo "!! no encuentro la clave de firma: $KEY" >&2
47    echo "   NO se genera una efímera a propósito: un índice firmado con una clave que nadie" >&2
48    echo "   conoce no lo verifica nadie. Generá la del proyecto una sola vez con:" >&2
49    echo "     takana keygen release --out ~/.config/takana/keys" >&2
50    echo "   y publicá la .pub en $TRUST/ (ver trust/README.md)." >&2
51    exit 2
52}
53
54# El conjunto sale de targets.toml, igual que la imagen.
55LISTA=$(python3 - "$PERFIL" <<'PY'
56import sys, os
57sys.path.insert(0, os.path.abspath("scripts"))
58import yupana, targets as targets_mod
59perfil = sys.argv[1]
60perfiles = targets_mod.load()
61if perfil not in perfiles:
62    sys.exit("perfil desconocido: %s" % perfil)
63memb = yupana.membresia(yupana.cargar_colas(), perfiles)
64for cola, nombre in sorted(n for n, ps in memb.items() if perfil in ps and n[0] != "wanted"):
65    if cola == "corpus":
66        print(nombre)
67PY
68)
69total=$(printf '%s\n' "$LISTA" | grep -c .)
70echo "==> perfil '$PERFIL': $total paquetes en la clausura → $REPO"
71
72rm -rf "$REPO"; mkdir -p "$REPO"
73anclados=0; sin_ancla=0; fallaron=""; saltados=""
74for n in $LISTA; do
75    r="recipes/$n.toml"
76    [ -r "$r" ] || { fallaron="$fallaron $n(sin-receta)"; continue; }
77    if timeout "$BUILD_TIMEOUT" "$TAKANA" --store "$STORE" pack "$r" --repo "$REPO" \
78            --distro-version "$DISTRO" --build >/dev/null 2>&1; then
79        anclados=$((anclados + 1))
80    elif [ "$SKIP_UNSEALED" = "1" ]; then
81        saltados="$saltados $n"
82    elif "$TAKANA" --store "$STORE" pack "$r" --repo "$REPO" --distro-version "$DISTRO" >/dev/null 2>&1; then
83        sin_ancla=$((sin_ancla + 1))
84    else
85        fallaron="$fallaron $n"
86    fi
87done
88
89echo "==> firmando el índice con $KEY"
90"$TAKANA" --store "$STORE" repo sign --repo "$REPO" --key "$KEY" >/dev/null
91
92# ── la guarda: que la firma VERIFIQUE, y que una alterada NO ────────────────────────────────────
93"$TAKANA" --store "$STORE" repo verify --repo "$REPO" --trust "$TRUST" >/dev/null 2>&1 \
94    || { echo "!! el índice NO verifica contra $TRUST — la clave publicada no es la que firmó" >&2; exit 1; }
95echo "==> ✓ el índice verifica contra $TRUST"
96
97echo
98echo "publicado: $anclados con expected_hash anclado, $sin_ancla sin ancla.${saltados:+ SIN SELLAR (saltados):$saltados}${fallaron:+ FALLARON:$fallaron}"
99echo "repo firmado en $REPO"
100echo "  consumir:  takana install <nombre> --repo <url> --trust <trust> --require-signed"