lassulus changed the topic of #nixos-de to: Willkommen im deutschen NixOS Channel. | Meetup Donnerstags 19:00 - 23:00 auf Mumble: nix-shell -p mumble --run "mumble mumble://$USER@lassul.us/nixos"
itc-ger has quit [Ping timeout: 256 seconds]
mbrgm_ has joined #nixos-de
mbrgm has quit [Ping timeout: 272 seconds]
mbrgm_ is now known as mbrgm
supersandro2000 has quit [Disconnected by services]
<DavHau[m]>
Alle automatisierbaren teile des reviews waeren dann halt extrem schnell approved. Evtl wuerde dass dann auch die motivation steigern mehr test zu implementieren um dadurch dei automatisierbarkeit zu erhoehen.
<lassulus>
wäre ja auch gut wenn nixpkgs-review die tests automatisch ausführt?
<lassulus>
oder gibts dafür nen flag?
<hexa->
du meinst passthru tests?
<lassulus>
uhm, einfach alle tests die sich ändern würden durch das update?
<sterni>
hab aber das gefühl wir kämpfen aktuell eher nicht mit einem mangel an nixpkgs-reviews
<sterni>
das scheint schon convenient genug zu sein dass eine menge leute das machen
<hexa->
nixpkgs-review macht aber im moment nur build tests
<hexa->
und tests wären dann tatsächlich runtime tests
<lassulus>
was nice wäre, wäre ja ein review binary cache, wo man nach nixpkgs-review hinpushen könnte oder so. Weil auch wenn andere leute das reviewed haben lasse ich das selber meist nochmal laufen
<DavHau[m]>
Da waere dann halt wieder das trust problem, oder nicht?
<lassulus>
na wenns nur zum review wäre, wäre das ja ok?
<lassulus>
ist evtl nervig zu splitten dann
<DavHau[m]>
Wenn alle reviewer diesen cache benutzen, dann koennte ein angreifer den cache mit einer falschen derivation infizieren, sodass alle tests ok aussehen, obwohl sie ds eigtl garnicht tun
<lassulus>
dann wäre kaputter code gemerged? was wäre daran der angriffsvektor?
<DavHau[m]>
Hm stimmt eigtl. Man muesste halt sicherstellen, dass dieser cache wirklich nur zum reviewen benutzt wird und nicht danach im system bleibt. Der angreifer kann dir ja jede beliebige dependency manipulieren.
<lassulus>
joo, das ist was ich meine nervig zu splitten
<lassulus>
sollte halt nur im review kontext bleiben
<kloenk[m]>
Hatte cachix da nicht mal was vorgeschlagen/angeboten
<lassulus>
\_(ツ)_/¯
<DavHau[m]>
So nervig zu splitten waere das doch garnicht. nixpkgs-review koennte doch enfach nix mit `--store` und mit einem extra cache via `--option` ausfuehren.
<DavHau[m]>
Alles natuerlich unter der annahme das die nix build sandbox sicher ist ;) Ich bin da kein experte.
<lassulus>
hmm, dann müsste nixpkgs-review aber auch proot oder sowas machen, damit der neue store in /nix liegt
<DavHau[m]>
wieso muss der store denn in /nix liegen. Der kann doch einfach in dein home verzeichnis
<lassulus>
na z.b. sieht ne gepatchte shebang in nix so aus #! /nix/store/j90jas90-bash/bin/bash
<lassulus>
also entweder du patcht alle scripte, dass das auf deinen nix-store zeigt, aber dann musst du sehr viel neubauen
<lassulus>
oder du mountest den neuen store nach /nix
<DavHau[m]>
Ah hm. ich glaube das regelt nix irgendwie intern. ansonsten wuerden ja generell keine builds mit --store funktionieren. Kein plan aber wie genau
<lassulus>
glaube --store tut in dem fall auch nicht das erwartete, aaber bin da auch nich so sicher
<DavHau[m]>
Also bei mir tut das genau das was ich erwarte. Evtl erwartest du was anderes als ich :D