#linuxpkg

状态：0.5.0 已发布到 mooncakes（Xpeng/linuxpkg）。deb、rpm、Arch Linux、Alpine 四种包的构建、检查、校验，以及 apt / dnf 软件源索引都已可用；压缩支持 gzip / xz / zstd / 不压缩。

#它是什么

• 用一份 linuxpkg.json，把任意程序和文件打成 Debian / Ubuntu / 统信 UOS / 麒麟用的 .deb、 Fedora / openEuler / 龙蜥用的 .rpm、Arch Linux 用的 .pkg.tar.zst 和 Alpine 用的 .apk。
• 能读取、检查、校验已有的四种包（包括官方工具和发行版生成的包），并为一批包生成 apt / dnf 软件源索引。
• 不依赖 dpkg-deb、rpmbuild 等系统工具，所以在 Windows、macOS 上也能产出 Linux 包。
• 可复现构建：同样的输入逐字节产出同样的包（支持 SOURCE_DATE_EPOCH）。
• 核心库不碰文件系统，可在 wasm / wasm-gc / js / native 四个后端运行；只有命令行读写文件。

在线试用（浏览器里检查、校验、打包，文件不上传）与带签名的软件源：https://pxgt.github.io/linuxpkg/

#当前功能

#安装与构建

moon add Xpeng/linuxpkg

moonx Xpeng/linuxpkg/cmd/main@0.5.0 inspect /绝对路径/hello_1.0.0-1_all.deb
moonx Xpeng/linuxpkg/cmd/main@0.5.0 verify /绝对路径/hello-1.0.0-1.noarch.rpm

git clone https://github.com/pxgt/linuxpkg
cd linuxpkg
moon build --target native cmd/main    # Windows 上请用 wasm-gc，或在 WSL 里用 native
moon run cmd/main --target wasm-gc -- --help

#快速开始

linuxpkg init                                    # 写出一份示例 linuxpkg.json
linuxpkg build examples/hello/linuxpkg.json --out dist     # 同时生成 deb、rpm、Arch 包和 Alpine 包（--format deb|rpm|arch|apk|all）
linuxpkg build examples/hello/linuxpkg.json --compression zstd --out dist-zstd   # 换压缩：none|gzip|xz|zstd
linuxpkg inspect dist/hello_1.0.0-1_all.deb      # 看元数据和文件列表（也认 .rpm、.apk 和 .pkg.tar.*）
linuxpkg inspect dist/hello-1.0.0-1.noarch.rpm --json
linuxpkg verify dist/hello-1.0.0-1.noarch.rpm    # 退出码 0 表示通过
linuxpkg repo dist                               # 给 dist 里的包生成 apt / dnf / pacman / apk 软件源索引
linuxpkg build examples/hello/linuxpkg.json --sign-key release.key --out dist   # rpm、Arch、Alpine 包签名（deb 靠软件源签名）
linuxpkg repo dist --sign-key release.key        # 软件源签名：InRelease、repomd.xml.asc、数据库 .sig、APKINDEX 签名
linuxpkg verify dist --keyring release.pub.asc   # 检查软件源或包的签名，退出码 2 表示签名缺失或不对
linuxpkg init --moon .                           # 为当前 MoonBit 项目生成 linuxpkg.json

#配置文件

{
  "name": "hello",
  "version": "1.0.0",
  "release": "1",
  "arch": "all",
  "maintainer": "Your Name <you@example.org>",
  "description": "一行摘要\n后面几行是详细说明",
  "mtime": 1700000000,
  "depends": ["libc6 (>= 2.31)"],
  "contents": [
    { "src": "hello.sh", "dst": "/usr/bin/hello", "mode": "0755" },
    { "src": "hello", "dst": "/usr/bin/hi", "type": "symlink" },
    { "src": "hello.conf", "dst": "/etc/hello.conf", "type": "config" },
    { "dst": "/var/lib/hello", "type": "dir" }
  ],
  "scripts": { "postinstall": "scripts/postinst.sh" }
}

• 字段名参考 nFPM；contents[].type 可以是 file（默认）、config、dir、symlink； mode 写成八进制字符串（"0755"）；owner / group 默认 root； 也可以把 mode、owner、group、mtime 放进 nFPM 风格的 file_info。
• arch 接受 amd64、x86_64、arm64、aarch64、all、noarch 等写法，会自动换成 deb / rpm 各自的名字。
• 版本里的预发布用 ~（1.0~rc1），不要用 -。
• compression 选 none、gzip（默认）、xz、zstd；也可以按格式覆盖，例如 "deb": {"compression": "zstd"}、"rpm": {"compression": "xz"}。 实话实说：现有的纯 MoonBit 压缩库的压缩率赶不上官方工具（实测，越小越好）：

  输入	gzip -9	xz -6（官方）	zstd -9（官方）	linuxpkg gzip	linuxpkg xz	linuxpkg zstd
  2.4 MB 源码文本	624 KB	505 KB	590 KB	637 KB	594 KB	1 484 KB
  6 MB 可执行文件和文档	2 261 KB	1 766 KB	2 098 KB	2 275 KB	2 157 KB	5 982 KB

  xz 比 gzip 小约 5–6%（6 MB 在 native 上 1.7 秒），zstd 编码器弱得多（文本上约是 gzip 的 2.4 倍大）； 产出的包都合法，官方工具都认。所以默认仍是 gzip，想要更小的包选 xz，目标环境要求时才选 zstd。数字见 docs/formats.md。
• 路径必须是绝对路径，不能含 ..，不能重复；错误信息会指出出错的字段（如 contents[2].dst）。
• 没写 mtime 时，用环境变量 SOURCE_DATE_EPOCH，再没有就用 0。

#它是怎么被验证的

• 我们生成的 deb → dpkg-deb --info/--contents/--extract、dpkg -i、dpkg --verify、dpkg -r、dpkg -P 都接受，装好后程序能运行， 配置文件在 dpkg -r 时保留、dpkg -P 时清除；lintian 的结果会记录下来。
• 我们生成的 rpm → rpm -K（头部与 payload 的 SHA-256 摘要 OK）、rpm -qip、rpm -qlp、rpm -qcp、--scripts、--requires/--provides、 rpm2cpio | cpio 解出的文件与源文件逐字节相同；在私有 --root 里 rpm -i、rpm -V（无差异）、rpm -e； 在 Fedora 41、openEuler 24.03 LTS 容器里 rpm -ivh / dnf install 都能装、能跑、脚本会执行、能卸载。
• 官方工具生成的包（dpkg-deb 的 gzip / xz / zstd / 不压缩 deb，rpmbuild 的 gzip / xz / zstd / 不压缩 rpm）→ 我们的 inspect / verify 能正确读取并完整校验， rpm 的 SHA-1 / MD5 / SHA-256 头部摘要、payload 摘要和每个文件的摘要都会核对。
• 每种压缩（gzip / xz / zstd / 不压缩）我们自己构建的 deb 和 rpm，都过一遍 dpkg-deb、dpkg -i、rpm -K、rpm -qp --requires（xz / zstd 带有对应的 rpmlib(PayloadIs…)）、 rpm2cpio、私有 root 安装和 rpm -V；Debian 12、Ubuntu 24.04、Fedora 41、openEuler 24.03 容器里 dpkg -i / rpm -ivh / dnf install 都能装、能跑、能卸载。
• 真实发行版的包也能完整校验（inspect 与 dpkg-deb / rpm -qp 一致，verify 退出码 0）：Debian 的 hello（xz，53 项校验）、Ubuntu 的 hello（zstd，6 项）、 Fedora 43 的 hello（zstd，49 项）、openEuler 24.03 的 tree（xz，6 项）；CI 里在容器中用发行版自己的 apt-get download / dnf download 再做一遍。
• 我们写出的 ustar 归档与 GNU tar 1.34 逐字节一致；GNU tar 写出的 ustar / pax / gnu 三种格式我们都能读回。
• 同样的输入构建两次，结果逐字节相同；native、wasm、wasm-gc、js 四个后端对每种压缩都产出相同的包。

#质量数字

• 测试：496 个，wasm-gc、wasm、js、native 四个后端全部通过（含 tar / ar / cpio / rpm 头 / 压缩的随机输入"写出再读回"属性测试、签名的可复现与篡改测试、命令行端到端测试）。
• 核心包行覆盖率 92.6%（spec 97.6%、tar 97.8%、ar 96.4%、cpio 100%、deb 95.8%、rpm 94.1%、compress 93.3%、repo 88.9%、arch 91.6%、apk 89.9%、sign 88.3%、elf 92.6%、nfpm 91.6%），CI 强制不低于 90%（tools/check_core_coverage.py）。
• 恶意输入：tar、ar、cpio、deb、rpm 的每一种截断和每个字节翻转（gzip / xz / zstd / 不压缩各测一遍）都只会得到结果或明确的错误，不会崩溃； gzip、xz、zstd 炸弹都被 1 GiB 默认上限截住（xz 和 zstd 在解压前就从块头 / 帧头算出解压后大小）。

#范围与不做的事

• bzip2 压缩（生态里没有可用的纯 MoonBit 实现；读到会明确报 unsupported）。.lzma 只能读，不能写。
• 带口令的私钥（明确报错，请先去掉口令或在 CI 里解密）；deb 单包签名（dpkg-sig / debsigs，发行版并不使用，签软件源即可）；Alpine 只支持 RSA 签名（apk 本身只认 RSA）
• 源码包（.dsc、.src.rpm）
• 自动分析二进制的动态库依赖
• 运行维护者脚本（只负责打包，不负责安装）

#谁在用

• moonthrift（Apache Thrift 的 MoonBit 实现）：用 pxgt/linuxpkg 这个 GitHub Action 在发布时打 deb、rpm、Arch、apk 四种安装包，工作流见 linux-packages.yml；它的带签名软件源就在 linuxpkg 的公开站点上。

#相关项目与致谢

• MoonBit 生态里已有 xmyd0915/moonar（ar 归档）和 oilleelssq-wq/moon-cpio（cpio 归档）两个底层零件。 linuxpkg 自己实现了 ar / tar / cpio，是为了完全控制确定性输出，并让归档格式与打包逻辑一起被官方工具验证；对这两个项目表示尊重。
• 配置字段命名参考 nFPM（MIT），并且能直接读它的配置文件（docs/nfpm.md）；CI 里用真 nFPM 做逐项对照。
• rpm 的头部布局、tag 与不可变区域参考 google/rpmpack（Apache-2.0）的格式知识，以 rpm 官方工具的实测结果为准，用 MoonBit 重新实现，没有复制代码。
• 压缩算法来自三个现成的 MoonBit 库：gzip 用 moonbit-community/flate， zstd 用 Milky2018/zstd，xz 写入用 lin2077-zeming/moonxz，xz 读取和 .lzma 用 aurora0x27/lzma-mbt；摘要来自 moonbitlang/x/crypto。

#开发

moon fmt --check
moon info && git diff --exit-code          # 公开接口 pkg.generated.mbti 要保持最新
moon check --target all --deny-warn
moon test --target wasm-gc                 # 也可以换 js、wasm；native 在 Linux/WSL 上跑
tools/oracle/run.sh                        # 需要 dpkg-deb、dpkg、sudo（可选 lintian）

#许可证