Dérivation explicite de la recette Buster

Les scripts, fragments de configuration, patchs et modèles de paquetage
proviennent des entrées finales et corrections réellement utilisées pour le lot Buster.
provenance-files.tsv donne les hashes des fichiers exportés. Les archives
amont, le patch perf et la configuration finale sont copiés à l'identique.
La recette exportée n'a pas été reconstruite dans son intégralité ; un
nouveau constructeur doit obtenir ses propres preuves.

La bibliothèque draft/common/scripts/lib/common.sh vient du snapshot
final de paquetage. Deux changements documentés sont apportés pour la
recette autonome : les anciennes valeurs par défaut des chemins privés
sont remplacées par SOURCE_ROOT et EXTERNAL_ROOT obligatoires, et la cible
Buster suit le chemin public sans dépendance à un marqueur privé de pilote
Bullseye. Le garde historique Stretch reste inchangé. Aucune acceptation
de configuration, compilation, validation runtime ou signature n'est
ajoutée par ce changement.

SHA256 original de common.sh :
ba272cdd51ddd3c4e512afab4ca34469fc594ee7dbc959f59e8e0fb8152280ee
SHA256 dérivé :
b2df3d4fe31695f7835dcddee4df1a1eda6854686fed9209bf4605c00f5e69c2

derivation/common-buster-public.redacted.diff décrit les deux hunks sans
divulguer les anciens chemins privés. C'est une pièce de lecture, pas un
patch à appliquer à l'original. La recette dérivée ne transporte ni
contrôleur de machine ni reçu d'approbation.

Le driver draft/common/scripts/build-toolchain.sh est la version réellement
exécutée pour le bootstrap Buster, SHA256 :
513f82a8a81701d085ef7e611a125c06d6c6e68cf3c39f8f3c591ee36b88f92e

La copie du snapshot final de paquetage porte SHA84342e05d3917b2aabb01fc796ac2689285e3a0962951b64740d15703fb35cd8.
Elle ne contenait pas les trois corrections d'expressions awk requises par
mawk de Buster et n'est pas présentée comme le driver du bootstrap exécuté.
history/bootstrap-0350/build-toolchain.sh.reference.txt conserve une copie
textuelle du driver réellement exécuté ; history/gcc-bootstrap.json décrit
les options de construction et les preuves projetées. Le contrôle du rootfs
check-rootfs.sh provient de la version exécutée lors du préflight natif Buster,
SHA256 da23172389b492d82280d1ad667f8a9c1230a619189c516f91884570c9c64ba3.
Elle comporte huit remplacements de classes POSIX pour la compatibilité avec
mawk ; la copie du snapshot final, SHA256
3aa8c9060050c03f6af1234fa2ce423682332eb62a1198c0bce9bca79c8ae229,
n’est pas celle utilisée lors de ce préflight. Les commandes
configure, make, installation et wrappers n'ont pas été modifiées pour cet
export. La toolchain GCC 12.4.0 utilise les binutils natifs 2.31.1 ; aucun
binutils 2.42 n'est compilé. Les constantes binutils 2.42 historiques dans
common.sh sont dormantes sur ce chemin, et non une dépendance livrée.

Les exports evidence/upstream-6.12.115/verification.json et extraction.json
ont des champs publics fermés : version, hashes archive/tar/arbre/Makefile,
signature et comptes. Ils reprennent des faits d'authentification antérieurs,
sans chemins ou journaux privés. Ils ne prouvent pas une nouvelle
authentification ou reconstruction. evidence/toolchain-fallback/SHA256SUMS
contient uniquement les quatre archives auxiliaires effectivement utilisées.
Les cinq archives amont représentent 237217970 octets. Le patch perf est
identique entre sa copie dans la recette et le fichier source séparé.

La configuration finale Buster a SHA256 :
2c59da6182ca20bc089605ebd531d2003a03886d01ae368cbbbb8c1b42e3e592

Les listes exactes des symboles inconnus, des options nouvelles et des
écarts olddefconfig résultent des revues historiques Buster. Elles sont
conservées avec la configuration de référence. Toute nouvelle sortie
différente exige une nouvelle revue, sans acceptation automatique.

Les documents, manifestes, liste des dépendances et copies des notices de
licence sont des ajouts documentaires. Les fichiers de la recette sont
distribués en mode 0644 ; les scripts sont appelés explicitement avec bash.
Le paquetage applique lui-même les modes attendus dans les DEB.

Aucun marqueur d'étape ni marqueur runtime privé d'une exécution antérieure
n'est inclus. Une nouvelle construction produit ses propres états. Les essais
VM du lot d'origine, la
signature APT et le démarrage physique restent des validations distinctes.
