Dérivation explicite de la recette Stretch

Les scripts, fragments de configuration, patchs et modèles de paquetage
proviennent des entrées finales qualifiées pour le lot Stretch, avec les
variantes réellement exécutées décrites ci-dessous. provenance-files.tsv
donne les empreintes des fichiers exportés. Les archives amont, le patch
perf et la configuration finale sont copiés à l'identique. La recette
exportée n'a pas été reconstruite dans son intégralité ; une nouvelle
construction doit produire ses propres preuves.

La bibliothèque draft/common/scripts/lib/common.sh vient du snapshot final
de paquetage. Deux changements documentés sont apportés pour une recette
autonome : les anciennes valeurs par défaut des chemins privés sont
remplacées par SOURCE_ROOT et EXTERNAL_ROOT obligatoires, et la cible
Stretch suit le chemin public sans dépendance au marqueur runtime privé du
pilote Bullseye. Tous les contrôles source, configuration, rootfs, GCC,
ELF et paquetage subsistent. Cette dérivation ne crée ni acceptation de
configuration, ni validation runtime, ni signature.

SHA256 original de common.sh :
ba272cdd51ddd3c4e512afab4ca34469fc594ee7dbc959f59e8e0fb8152280ee
SHA256 dérivé :
77dca05c0e767f9d39f7d994651eca2554c9c89f73d7fcc8bf3bb9cdd7c5a6aa

derivation/common-stretch-public.redacted.diff montre les deux hunks en
masquant les anciens chemins privés. C'est une pièce de lecture, pas un
patch à appliquer à l'original. Aucun contrôleur de machine ou reçu
privé n'est transporté.

Le driver draft/common/scripts/build-toolchain.sh est la version réellement
transférée et exécutée dans la reprise du bootstrap Stretch, SHA256 :
f9a73b35ff3282b02490081ce6065c41337d6a184e7a03c479e88855808498fc

La copie du snapshot final de paquetage, SHA256
84342e05d3917b2aabb01fc796ac2689285e3a0962951b64740d15703fb35cd8,
n'est pas le driver du bootstrap exécuté. Le driver livré reprend les
corrections awk pour mawk et ajoute le repli /usr/bin/grep ou /bin/grep.
history/bootstrap-0415/build-toolchain.sh.reference.txt conserve le
driver réellement exécuté ; les changements par rapport au snapshot
historique sont identifiés ci-dessus.

Le contrôle check-rootfs.sh vient de la version exécutée lors du préflight
natif Stretch, SHA256
da23172389b492d82280d1ad667f8a9c1230a619189c516f91884570c9c64ba3.
Elle comporte huit remplacements de classes POSIX pour mawk ; la copie du
snapshot final, SHA256
3aa8c9060050c03f6af1234fa2ce423682332eb62a1198c0bce9bca79c8ae229,
n'a pas été employée dans ce préflight. Les commandes configure, make,
installation et wrappers du bootstrap ne changent pas avec cet export.
La toolchain GCC 12.4.0 utilise les binutils natifs 2.28 ; aucun binutils
2.42 n'est compilé. Les constantes binutils 2.42 historiques de common.sh
sont dormantes sur ce chemin et ne désignent pas une dépendance livrée.

Les exports evidence/upstream-6.12.115/verification.json et extraction.json
reprennent seulement les faits publics d'authentification antérieurs.
Ils n'effectuent pas une nouvelle vérification cryptographique.
evidence/toolchain-fallback/SHA256SUMS couvre les quatre archives auxiliaires
réellement utilisées. Le patch perf est identique dans la recette et dans
les sources séparées.

La configuration finale Stretch a SHA256 :
a78c649281f6834c77a89c744d6d50bf604f21e28b25f3fcdfd3791995601231

Les listes de symboles inconnus, d'options nouvelles et d'écarts olddefconfig
sont les sorties exactes revues pour cette migration. Une sortie future
différente exige une nouvelle revue ; aucune acceptation automatique ne
résulte de leur inclusion dans la recette.

Les documents, manifestes, liste des dépendances et copies des notices de
licence sont des ajouts documentaires. Les fichiers de la recette sont
distribués en mode 0644 ; les scripts sont appelés explicitement avec bash.
Le paquetage applique les modes requis dans les DEB.

Aucun marqueur d'étape ni marqueur runtime privé n'est inclus. Une nouvelle
construction produit ses propres états. Les essais en VM, la signature APT
et le démarrage physique restent des validations distinctes.
