Dérivation explicite de la recette

Les scripts/configurations/patchs/modèles proviennent des snapshots réellement
utilisés pour le lot Bullseye, après les corrections de contrôle et de paquetage.
Les fichiers copiés sans changement sont identifiés dans provenance-files.tsv.
Les sources amont et la configuration finale sont intactes.

Unique transformation de code pour l'export public : dans lib/common.sh,
les deux constantes de chemin local privé sont remplacées par les valeurs
obligatoires SOURCE_ROOT et EXTERNAL_ROOT. Le commentaire de ces constantes
est adapté. Aucune autre ligne de code n'est changée. Les contrôles de
séparation, confinement, budget, preuves et étapes restent identiques.

SHA256 original de lib/common.sh :
ba272cdd51ddd3c4e512afab4ca34469fc594ee7dbc959f59e8e0fb8152280ee
SHA256 dérivé :
79c127057514d4196e5d1eb659b3dd2bcf2d11660dc573f3d3bc475a53fb2ae1

derivation/common-parameters.redacted.diff montre les lignes concernées.
Les deux anciennes valeurs y sont remplacées par des libellés explicites :
ce diff documentaire ne permet pas de reconstituer les chemins privés et
ne doit pas être appliqué à l'original. Aucun ancien contrôleur n'est inclus.
TARGET_ROOTFS était déjà obligatoire et reste explicite dans la procédure.

Métadonnées de source : verification.json et extraction.json sont de nouveaux
exports à champs fermés. Ils conservent les faits publics nécessaires au
lecteur existant : version, hashes archive/tar/arbre/Makefile, signature et
comptes de fichiers. Les chemins privés, journaux, reçus et détails de machine
sont omis. Aucun champ ne prétend authentifier à nouveau les archives ni
valider une reconstruction. Le SHA du manifeste n'est pas une signature.

evidence/toolchain-fallback/SHA256SUMS contient les quatre archives réellement
utilisées. L'entrée historique binutils 2.42 non utilisée n'est pas exportée.
Leurs hashes restent ceux des archives d'origine, vérifiés à nouveau lors de
la copie de préparation de cet arbre. Les cinq archives totalisent 237217970
octets. Le patch perf séparé et sa copie de recette sont strictement identiques.

Le driver GCC corrigé diffère du bootstrap historique seulement par -Wl,-v
dans la sonde postinstallation, son commentaire, et l'appel du checker ELF
via bash. Ce diff était déjà appliqué avant cet export ; il est conservé
séparément. Les étapes configure, bootstrap, installation et wrappers sont
identiques. La reconstruction complète du driver corrigé n'est pas annoncée
comme déjà exécutée. L'ancien driver est fourni comme texte historique.

La configuration finale inclut le passage de modules gzip vers XZ. Les
listes d'acceptation et les sources historiques de migration sont conservées
sans adaptation. La comparaison finale avec le fichier de configuration exact
reste une condition avant de compiler un nouveau lot.

Les documents, manifestes, listes de dépendances et copies de textes de licence
sont nouveaux. Les hashes de l'arbre couvrent les octets livrés. Les fichiers
sont distribués en mode 0644 ; les scripts s'appellent explicitement via bash,
et le paquetage applique lui-même les modes des scripts mainteneurs aux DEB.

Cet arbre ne contient aucun marqueur source.ok/config.ok/toolchain.ok/kernel.ok,
packages.ok ou pilote-bullseye.ok provenant d'une exécution antérieure.
Ces états doivent résulter des opérations réelles du nouveau constructeur.
