[devel] Упаковка "бинарников"

[devel] Упаковка "бинарников"

[Pavel Vainerman]

Добрый вечер.

Существует ли у нас официальный способ или какое-то полиси для упаковки
программ, которые по сути являются одним бинарником. Это особенно
актуально для программ написаных на GO. Всё чаще сталкиваюсь с тем, что
нужные программы распространяются в виде архива, который рекомендуется
скачать с сайта, просто выбрав нужную платформу (32bit, 64bit) и всё.
Для меня из последнего это consul, vault, gitlab-runner и т.п.

Я не сильный специалист по go и собирать из исходников не очень
стремлюсь. Более того, общее впечатление, что программы go собирать из
исходников нужно только разработчикам, которым либо нужна текущая
нестабильная версия с новыми плюшками, либо активным контрибьютерам.
А вроде всем остальным просто "скачайте".

Я понимаю, что захламлять репозиторий перепакованными бинарниками,
это тоже  что-то странное,  но очень хочется ставить подобные программы
единообразно, обычным apt-get install xxx.

Т.к. по ощущению всё больше становится программ распространяющихся таким
способом, может у нас есть какой-то готовый рецепт на такие случаи?
Может это должен быть пакет, который при установке выкачивает бинарь?
(а сам по себе содержит обвязку в виде service-файлов, конфигов и т.п.).

Есть у нас какие-то правила на эту тему?

P.S. Интересуюсь пока просто "видением партии", т.к. собрать для себя
пакет и положить в свой частный репозиторий тоже никто не мешает.


-- 
Pavel Vainerman
www.etersoft.ru

Re: [devel] Упаковка "бинарников"

[Pavel Vainerman]

> Это все же большой риск для безопасности. Без реальной возможности
> проверки такого пакета.
> Потому не стоит такое класть в публичный репозиторий, можно подставить
> пользователей.

  Да. В эту сторону я действительно не думал, это сильный аргумент..
Спасибо.



-- 
Pavel Vainerman
www.etersoft.ru

Re: [devel] Упаковка "бинарников"

[Yury A. Romanov]

On 21.07.2018 01:00, Pavel Vainerman wrote:
> 
>> Это все же большой риск для безопасности. Без реальной возможности
>> проверки такого пакета.
>> Потому не стоит такое класть в публичный репозиторий, можно подставить
>> пользователей.
> 
>    Да. В эту сторону я действительно не думал, это сильный аргумент..
> Спасибо.
> 
> 
> 

гошечка обычно очень легко пакуется, если есть пакет с компилятором 
нужной версии.

Re: [devel] Упаковка "бинарников"

[Alexey V. Vissarionov]

On 2018-07-30 05:05:37 +0300, Yury A. Romanov wrote:
 >>> Это все же большой риск для безопасности. Без реальной
 >>> возможности проверки такого пакета.
 >>> Потому не стоит такое класть в публичный репозиторий,
 >>> можно подставить пользователей.
 >> Да. В эту сторону я действительно не думал, это сильный
 >> аргумент..
 >> Спасибо.
 > гошечка обычно очень легко пакуется, если есть пакет с
 > компилятором нужной версии.

А много ли версий компилятора для этого надо поддерживать в
дистрибутиве?


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] Упаковка "бинарников"

[Vladimir D. Seleznev]

On Mon, Jul 30, 2018 at 07:14:49AM +0300, Alexey V. Vissarionov wrote:
> On 2018-07-30 05:05:37 +0300, Yury A. Romanov wrote:
>  >>> Это все же большой риск для безопасности. Без реальной
>  >>> возможности проверки такого пакета.
>  >>> Потому не стоит такое класть в публичный репозиторий,
>  >>> можно подставить пользователей.
>  >> Да. В эту сторону я действительно не думал, это сильный
>  >> аргумент..
>  >> Спасибо.
>  > гошечка обычно очень легко пакуется, если есть пакет с
>  > компилятором нужной версии.
> 
> А много ли версий компилятора для этого надо поддерживать в
> дистрибутиве?

Можно в исходном пакете носить исходники нужной версии компилятора.
Сначала собрать компилятор, и им уже собирать всё остальное. Ужасное, на
самом деле, решение, но гораздо лучше, чем паковать блобы. Паковать
блобы, от которых есть исходники, вообще неправильное решение.

-- 
   С уважением,
   Владимир Селезнев

Re: [devel] Упаковка "бинарников"

[Alexey V. Vissarionov]

On 2018-07-30 13:42:35 +0300, Vladimir D. Seleznev wrote:

 >>>>> Это все же большой риск для безопасности. Без реальной
 >>>>> возможности проверки такого пакета.
 >>>> Да. В эту сторону я действительно не думал, это сильный
 >>>> аргумент..
 >>> гошечка обычно очень легко пакуется, если есть пакет с
 >>> компилятором нужной версии.
 >> А много ли версий компилятора для этого надо поддерживать в
 >> дистрибутиве?
 > Можно в исходном пакете носить исходники нужной версии
 > компилятора. Сначала собрать компилятор, и им уже собирать всё
 > остальное.

А для того, чтобы собрать компилятор, нужно собрать компилятор, для
чего нужно собрать компилятор для сборки компилятора компилятора?

 > Ужасное, на самом деле, решение, но гораздо лучше, чем паковать
 > блобы. Паковать блобы, от которых есть исходники, вообще
 > неправильное решение.

s/блобы/исполняемые блобы/

А то какая-нибудь мультимудия - тоже блобятина...


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] Упаковка "бинарников"

[Vladimir D. Seleznev]

On Mon, Jul 30, 2018 at 01:53:45PM +0300, Alexey V. Vissarionov wrote:
> On 2018-07-30 13:42:35 +0300, Vladimir D. Seleznev wrote:
> 
>  >>>>> Это все же большой риск для безопасности. Без реальной
>  >>>>> возможности проверки такого пакета.
>  >>>> Да. В эту сторону я действительно не думал, это сильный
>  >>>> аргумент..
>  >>> гошечка обычно очень легко пакуется, если есть пакет с
>  >>> компилятором нужной версии.
>  >> А много ли версий компилятора для этого надо поддерживать в
>  >> дистрибутиве?
>  > Можно в исходном пакете носить исходники нужной версии
>  > компилятора. Сначала собрать компилятор, и им уже собирать всё
>  > остальное.
> 
> А для того, чтобы собрать компилятор, нужно собрать компилятор, для
> чего нужно собрать компилятор для сборки компилятора компилятора?
> 
>  > Ужасное, на самом деле, решение, но гораздо лучше, чем паковать
>  > блобы. Паковать блобы, от которых есть исходники, вообще
>  > неправильное решение.
> 
> s/блобы/исполняемые блобы/
> 
> А то какая-нибудь мультимудия - тоже блобятина...

И от неё тоже могут быть исходники ;)

-- 
   С уважением,
   Владимир Селезнев

Re: [devel] Упаковка "бинарников"

[Andrey Savchenko]

[-- Attachment #1: Type: text/plain, Size: 2534 bytes --]

On Mon, 30 Jul 2018 13:42:35 +0300 Vladimir D. Seleznev wrote:
> On Mon, Jul 30, 2018 at 07:14:49AM +0300, Alexey V. Vissarionov wrote:
> > On 2018-07-30 05:05:37 +0300, Yury A. Romanov wrote:
> >  >>> Это все же большой риск для безопасности. Без реальной
> >  >>> возможности проверки такого пакета.
> >  >>> Потому не стоит такое класть в публичный репозиторий,
> >  >>> можно подставить пользователей.
> >  >> Да. В эту сторону я действительно не думал, это сильный
> >  >> аргумент..
> >  >> Спасибо.
> >  > гошечка обычно очень легко пакуется, если есть пакет с
> >  > компилятором нужной версии.
> > 
> > А много ли версий компилятора для этого надо поддерживать в
> > дистрибутиве?
> 
> Можно в исходном пакете носить исходники нужной версии компилятора.
> Сначала собрать компилятор, и им уже собирать всё остальное. Ужасное, на
> самом деле, решение, но гораздо лучше, чем паковать блобы. Паковать
> блобы, от которых есть исходники, вообще неправильное решение.

1. Если уж таскаются исходники, почему бы не собрать их отдельным
пакетом? На самом деле, как только будет запакетирована пара версий
golang, и механизм их переключения, проблем с упаковкой любого
числа версий не будет.

2. Твоё предложение нежизнеспособно, сразу видно, что golang ты
не собирал, т.к. для сборки современных версий golang нужен...
golang и gccgo не подойдёт.

3. Кстати о gccgo, для многих (но не всех) пакетов и его хватит. Он
лучше golang по оптимизации кода под целевой CPU, но обычно сильно
отстаёт по фичам самого языка go.

Best regards,
Andrew Savchenko

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Упаковка "бинарников"

[Vladimir D. Seleznev]

On Mon, Jul 30, 2018 at 02:09:42PM +0300, Andrey Savchenko wrote:
> On Mon, 30 Jul 2018 13:42:35 +0300 Vladimir D. Seleznev wrote:
> > On Mon, Jul 30, 2018 at 07:14:49AM +0300, Alexey V. Vissarionov wrote:
> > > On 2018-07-30 05:05:37 +0300, Yury A. Romanov wrote:
> > >  >>> Это все же большой риск для безопасности. Без реальной
> > >  >>> возможности проверки такого пакета.
> > >  >>> Потому не стоит такое класть в публичный репозиторий,
> > >  >>> можно подставить пользователей.
> > >  >> Да. В эту сторону я действительно не думал, это сильный
> > >  >> аргумент..
> > >  >> Спасибо.
> > >  > гошечка обычно очень легко пакуется, если есть пакет с
> > >  > компилятором нужной версии.
> > > 
> > > А много ли версий компилятора для этого надо поддерживать в
> > > дистрибутиве?
> > 
> > Можно в исходном пакете носить исходники нужной версии компилятора.
> > Сначала собрать компилятор, и им уже собирать всё остальное. Ужасное, на
> > самом деле, решение, но гораздо лучше, чем паковать блобы. Паковать
> > блобы, от которых есть исходники, вообще неправильное решение.
> 
> 1. Если уж таскаются исходники, почему бы не собрать их отдельным
> пакетом? На самом деле, как только будет запакетирована пара версий
> golang, и механизм их переключения, проблем с упаковкой любого
> числа версий не будет.

Можно и так.

> 2. Твоё предложение нежизнеспособно, сразу видно, что golang ты
> не собирал, т.к. для сборки современных версий golang нужен...
> golang и gccgo не подойдёт.

Да, не собирал, поэтому меня несколько удивляет требование привязки к
определённой версии компилятора. Но если для сборки пакета нужна
определённая версия golang, и она собирается с помощью golang из
репозитория, то не вижу проблем с этой схемой. А если не собирается, то
по хорошему надо решить проблему бутстрапа.

> 3. Кстати о gccgo, для многих (но не всех) пакетов и его хватит. Он
> лучше golang по оптимизации кода под целевой CPU, но обычно сильно
> отстаёт по фичам самого языка go.

-- 
   С уважением,
   Владимир Селезнев