build-rs-audit: 半自动审计项目中的build.rs

chuigda 发表于 2022-03-19 15:34

昨天有人发帖称 Cargo 存在安全问题。今天信息更新了，我看了下，无非还是 build.rs 有 vulnerability 的旧新闻。不过考虑到这个问题可能确实需要稍微处理乃至是缓解一下，加上 AUR 包在构建之前也有类似的机制，所以我就弄了一个 build-rs-audit。

这个程序会搜索程序所有依赖项目中所有的 build.rs，然后依次用设定的文本编辑器打开。实现非常 dirty，也就暂时用一下子。

写评论

Neutron3529 2022-03-19 22:58

intel MKL

安装之后应该没有3个G那么大，3G大概把安装包也算上了

BTW，这种时候应该查一下有没有openblas这个feature，把这个feature开开，一般intel MKL就无了。

--
👇
洛佳: 看起来可以，有段时间我在用一个科学计算库，结果它的build.rs给我下载了三个多G的Intel MDL（好像叫这个名字）SDK，搞得我差点硬盘不够用

洛佳 2022-03-19 16:32

看起来可以，有段时间我在用一个科学计算库，结果它的build.rs给我下载了三个多G的Intel MDL（好像叫这个名字）SDK，搞得我差点硬盘不够用

Neutron3529 2022-03-19 16:07

刚读完这个工具的时候，我发现你的脚本没有处理include!()这个宏

同时build.rs只是默认的构建脚本，好像可以autobuild=false然后手工在Cargo.toml里面指定一个真正用来build的脚本

（我只知道有什么问题，不知道怎么改）

（或者说，等我查完API，估计大神都把沙盒做好了……）

1 共 3 条评论, 1 页