Архив пакета при сборке стал воспроизводимым — одинаковый результат при одинаковом входе

Все записи архива, создаваемого при подготовке пакета к публикации, получают одинаковую метку времени. Это делает архив воспроизводимым.

Что такое воспроизводимая сборка

Одинаковый исходный код должен давать побайтово одинаковый результат. На практике это не выполняется: в архив попадают моменты времени создания файлов, а значит, одинаковая сборка в разное время даёт разные архивы.

Зачем это нужно, если пакет всё равно один: по опубликованному архиву можно проверить, что он соответствует исходному коду. Если байты совпадают — файл не менялся с момента сборки. Если не совпадают — значит, содержимое подменяли или пересобирали.

Почему именно метка времени

Метка времени — единственное, что в потребуемом архиве зависит от момента запуска. Убрать её — значит получить побайтовую воспроизводимость; всё остальное содержимое уже задаётся исходным кодом.

Это первая половина более широкой задачи: полная воспроизводимость публикации требует ещё и согласования состава файлов.

Оригинал

package: all tar entries timestamp be the same