可复现构建是什么
可复现构建指相同源码、相同工具链、相同构建环境下，任何人重新构建都能得到逐字节一致的产物。它让「发布出去的二进制」与「审查过的源码」可以相互印证，是供应链安全、缓存可靠性与增量构建正确性的共同基础。Debian、Fedora 等发行版社区为此推动了 SOURCE_DATE_EPOCH 等通用约定。达成上分两级：先做到「同机可复现」，再追求「跨机跨环境逐字节一致」。
基本信息
| 适用平台 | 任何有构建流程的项目，Linux/macOS CI 与容器构建最常见 |
|---|---|
| 核心约定 | SOURCE_DATE_EPOCH：类 Unix 工具链通用的时间戳基准 |
| 常见干扰源 | 时间戳、文件顺序、绝对路径、并行调度、依赖版本漂移 |
| 验证手段 | diffoscope 比对两次产物；reprotest 变换环境自动复测 |
典型使用场景
- 安全发布：让第三方独立复算发布产物，验证二进制与源码一致
- 供应链审计：重建比对上游发行版的发布件，发现被动过手脚的二进制
- 去重与缓存：产物一致时内容寻址存储准确命中，镜像体积不再膨胀
- 故障复现：线上二进制与本地重建一致，定位问题不再怀疑构建差异
- 合规追溯：行业规范要求构建过程可追溯、可复算
常见规约
常见规约
export SOURCE_DATE_EPOCH=$(git log -1 --format=%ct) # 以最后一次提交时间作时间戳基准
# 归档时固定 mtime、属主与排序，消除打包差异
tar --sort=name --mtime=@$SOURCE_DATE_EPOCH \
--owner=0 --group=0 --numeric-owner -czf app.tar.gz dist/
go build -trimpath -ldflags='-buildid=' -o app # Go：去掉绝对路径与随机 buildid
diffoscope out-a/ out-b/ # 比对两次构建产物，列出全部差异
reprotest 'make build' dist/app.tar.gz --vary=all # 变换环境自动复测差异源与处理对照
| 差异源 | 表现 | 处理 |
|---|---|---|
| 时间戳 | 归档或产物内嵌 mtime 不同 | SOURCE_DATE_EPOCH + 归档固定 mtime |
| 文件顺序 | tar/zip 条目顺序随文件系统变化 | 归档时按名称排序（--sort=name） |
| 绝对路径 | 产物内嵌构建机路径 | 编译期映射（-trimpath、-fdebug-prefix-map） |
| 并行随机性 | 并发调度导致输出顺序不同 | 排序输出、固定线程数 |
| 依赖漂移 | 镜像源内容变化引入新版本 | 锁文件 + 内容摘要引用 |
先测量再消除：多数项目第一次做「双构建比对」会列出几十处差异，按类别逐项处理，比一上来就引入重型工具更有效。
语言与工具链支持程度不同：Go/Rust 与 Debian 系打包工具内置了可复现选项，Java、Python 打包链路常需额外规约，别指望开箱即得。