sergio/takana

De las 4, sólo 2 eran mentiras reales. Las otras 2 eran ARTEFACTOS RANCIOS: el audit hace
`ls -dt store/*-<n>` = el sellado MÁS RECIENTE, que no es el VIGENTE (hammer no expone el hash de
una receta sin construirla — no hay 'hammer hash' ni dry-run). Con el store desactualizado, el
audit acusa a recetas ya sanas. El propio script lo advierte ('correr DESPUÉS del rebuild, nunca
antes') y aun así la lista del frente se armó sin re-sellar. => el '11 mienten' está INFLADO;
hay que re-sellar antes de asumir que cada una necesita fix.

pcre2 — mentira real de libtool. NEEDED libz.so.1+libc.so → 0. -all-static en compile Y install.
  pcre2grep 10.47 corre y matchea de verdad ('foo bar' con 'b(a|o)r').

libcap — mentira real, pero la causa NO era libtool: Makefile plano, -all-static no aplica.
  progs/Makefile ASIGNA `LDFLAGS = -Wl,-Bstatic` + sufijo `-Wl,-Bdynamic`, y una asignación del
  makefile PISA el LDFLAGS=-static del lab. El comentario de upstream admite que su default es
  'estático contra libcap.a, DINÁMICO contra libc'. Fix = LIBCSTATIC=yes, la palanca que upstream
  expone justo para esto (la usa su kdebug/test-kernel.sh) ⇒ rama con `LDFLAGS = --static` sin
  sufijo. NO se pasa LDFLAGS por línea de comando: pisaría la rama y devolvería el sufijo.
  NEEDED=0; capsh/getcap/setcap corren y getpcaps devuelve caps reales.

dbus — no mentía. Construye con MESON, no libtool ⇒ el agujero no existe acá. Ya tenía
  --prefer-static -Ddefault_library=static: libdbus-1.a, cero .so, todos los binarios NEEDED=0.
  Verificado end-to-end: dbus-run-session levantó un daemon estático y dbus-send ListNames obtuvo
  method return. Sólo se documentó.

libnl — no mentía. Ya tenía --disable-shared --enable-static --disable-cli: 0 .so, 6 .a, sin
  ejecutables (es el 'sin ELF: 1' del audit, esperado). libnl-3.a válido con nl_connect/
  nl_socket_alloc como T. Sólo se documentó.

LECCIÓN: -all-static no es la única causa. Hay paquetes que pisan LDFLAGS por asignación de
makefile (libcap) y otros que ya están bien. Hay que LEER el Makefile, no aplicar el patrón a ciegas.

Van 9 de 11 (2 eran falsos positivos).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

diff --git a/recipes/dbus.toml b/recipes/dbus.toml
index 0a4946c7..f564102c 100644
--- a/recipes/dbus.toml
+++ b/recipes/dbus.toml
@@ -16,6 +16,14 @@ flags    = []
 
 [build.phases]
 # meson estático (patrón glib): systemd/x11-autolaunch/tests/docs off (deps ausentes en el lab).
+#
+# NO lleva `-all-static` (2026-07-17, frente link-static-mentira-libtool): dbus construye con MESON,
+# no con autotools/libtool ⇒ no existe el agujero de libtool (que lee el `LDFLAGS=-static` del lab
+# como "preferí mis .a" en vez de pasarlo al linker). Acá `--prefer-static -Ddefault_library=static`
+# ya hacen el trabajo: el artefacto trae `libdbus-1.a` (cero .so) y todo binario sale sin NEEDED.
+# El `✗ dbus dice static, es DINÁMICO → libdbus-1.so.3 libc.so` del audit era un artefacto VIEJO del
+# store (5cc4b104), anterior a estos flags: `ls -dt` agarra el más reciente, no el vigente (lo avisa
+# el propio script). Re-sellar bastó — verificado levantando un bus real con dbus-run-session.
 configure = "PYTHONPATH=/usr/lib/python3.12/site-packages meson setup output --prefix=/usr --buildtype=release --prefer-static -Ddefault_library=static -Dsystemd=disabled -Dx11_autolaunch=disabled -Ddoxygen_docs=disabled -Dxml_docs=disabled -Dtools=true -Dsystem_pid_file=/run/dbus/dbus.pid"
 compile   = "PYTHONPATH=/usr/lib/python3.12/site-packages ninja -C output"
 install   = '''
diff --git a/recipes/libcap.toml b/recipes/libcap.toml
index 174ace58..672ce708 100644
--- a/recipes/libcap.toml
+++ b/recipes/libcap.toml
@@ -34,5 +34,16 @@ build = ["make"]
 [build.phases]
 # El árbol de libcap detecta como BuildSys::Make ⇒ el compile/install por defecto no pasa los
 # overrides de toolchain ni las flags GOLANG/PAM. Override explícito de ambas fases.
-compile = "make CC='zig cc -mcpu=baseline' BUILD_CC='zig cc -mcpu=baseline' AR='zig ar' RANLIB='zig ranlib' OBJCOPY='zig objcopy' GOLANG=no PAM_CAP=no SHARED=no lib=lib"
-install = "make CC='zig cc -mcpu=baseline' BUILD_CC='zig cc -mcpu=baseline' AR='zig ar' RANLIB='zig ranlib' OBJCOPY='zig objcopy' GOLANG=no PAM_CAP=no SHARED=no lib=lib prefix=/usr DESTDIR=/out install"
+#
+# ESTÁTICO DE VERDAD (2026-07-17, frente link-static-mentira-libtool):
+# libcap NO usa libtool (Makefile plano) ⇒ `-all-static` (flag exclusivo de libtool) no aplica acá.
+# La mentira tenía otra causa: `progs/Makefile` **ASIGNA** `LDFLAGS = -Wl,-Bstatic` con sufijo
+# `-Wl,-Bdynamic`, y una asignación en el makefile PISA el `LDFLAGS=-static` que el lab exporta por
+# `link="static"`. Ese default de upstream significa "estático contra libcap.a del árbol, DINÁMICO
+# contra libc" (lo dice su propio comentario) ⇒ capsh/getcap/setcap salían con NEEDED libc.so — la
+# musl que zig bundlea, 255B de linker script en el host ⇒ no corrían fuera del sandbox.
+#   LIBCSTATIC=yes — la palanca que upstream expone justo para esto: entra en la rama que hace
+#                    `LDFLAGS = --static` sin sufijo -Bdynamic (la usa su propio kdebug/test-kernel.sh).
+# No pasamos LDFLAGS por línea de comando: eso pisaría la rama entera y volvería a dejar el sufijo.
+compile = "make CC='zig cc -mcpu=baseline' BUILD_CC='zig cc -mcpu=baseline' AR='zig ar' RANLIB='zig ranlib' OBJCOPY='zig objcopy' GOLANG=no PAM_CAP=no SHARED=no LIBCSTATIC=yes lib=lib"
+install = "make CC='zig cc -mcpu=baseline' BUILD_CC='zig cc -mcpu=baseline' AR='zig ar' RANLIB='zig ranlib' OBJCOPY='zig objcopy' GOLANG=no PAM_CAP=no SHARED=no LIBCSTATIC=yes lib=lib prefix=/usr DESTDIR=/out install"
diff --git a/recipes/libnl.toml b/recipes/libnl.toml
index 2f3deef8..50326f70 100644
--- a/recipes/libnl.toml
+++ b/recipes/libnl.toml
@@ -26,6 +26,12 @@ link     = "static"
 build = ["flex", "bison", "m4", "make"]
 
 [build.phases]
+# NO lleva `-all-static` (2026-07-17, frente link-static-mentira-libtool): libnl es librería PURA.
+# Con `--disable-shared --disable-cli` el artefacto son sólo `.a` + headers + `.pc` — cero `.so` y
+# cero ejecutables ⇒ no hay link final que pueda mentir, y `-all-static` no tendría a qué aplicarse.
+# El `✗ libnl dice static, es DINÁMICO → libnl-cli-3.so.200 … libc.so` que reportaba el audit era un
+# artefacto VIEJO del store (490c7a95), sellado ANTES de que se añadieran esos dos flags: `ls -dt`
+# agarra el más reciente, no el vigente (el propio script lo advierte). Re-sellar bastó.
 configure = "./configure --build=$CBUILD --host=$CHOST --prefix=/usr --libdir=/usr/lib --disable-shared --enable-static --disable-cli"
 compile   = "make -j\"$(nproc)\""
 install   = "make DESTDIR=/out install"
diff --git a/recipes/pcre2.toml b/recipes/pcre2.toml
index 4d7c67a1..cf431efd 100644
--- a/recipes/pcre2.toml
+++ b/recipes/pcre2.toml
@@ -17,6 +17,15 @@ link     = "static"
 flags    = []
 
 [build.phases]
+# ESTÁTICO DE VERDAD (2026-07-17, frente link-static-mentira-libtool):
+# pcre2 enlaza sus ejecutables (pcre2grep, pcre2test) con **libtool**, y libtool NO reenvía el
+# `LDFLAGS=-static` que el lab exporta por `link="static"` al linker: lo interpreta como "preferí
+# los .a de libtool". Resultado: pcre2grep salía DINÁMICO (NEEDED: libz.so.1, libc.so) jurando ser
+# estático — y `libc.so` es la musl que zig bundlea, que en el host son 255B de linker script ⇒ el
+# artefacto no corría fuera del sandbox.
+# El único flag de libtool que fuerza un binario 100% estático es `-all-static`, y va en `make`
+# **Y** en `make install` (libtool RELINKEA al instalar; sólo en compile no basta). NUNCA en
+# configure: rompe los tests de link de autotools.
 compile = '''
 ./configure \
 	--build=$CBUILD --host=$CHOST \
@@ -26,9 +35,9 @@ compile = '''
 	--enable-jit \
 	--enable-pcre2grep-libz \
 	--disable-symvers
-make
+make LDFLAGS="-all-static -no-pie" -j"$(nproc)"
 '''
-install = 'make DESTDIR=/out install'
+install = 'make DESTDIR=/out install LDFLAGS="-all-static -no-pie"'
 
 [deps]
 build = ["zlib", "make"]