特定 LineageOS 构建映像的确切源代码

Question

如何下载特定 LineageOS Android 版本的确切源代码？

比如这个：

https://download.lineageos.org/FP3

sha256 039a65b5365acd4d570fab1c034f450f32f04ca6f5371602adc6a9736bffe015
lineage-19.1-20221031-nightly-FP3-signed.zip

目标：能够手动检查（开源）源代码并验证在此特定构建中没有操纵任意代码。

前言

当我下载Termux from F-Droid这样的应用程序时，我可以：

1. 验证PGP签名（验证包授权和完整性）
2. 检查构建日志（检查异常库中有争议的段落）
3. 下载原始源压缩包并检查源代码 (对我来说最重要)

   如何在特定的 LineageOS 构建上执行最后的验证步骤？

   笔记

   • https://security.stackexchange.com/q/266348/ - 这个问题是从信息安全网迁移过来的
   • https://wiki.lineageos.org/verifying-builds - 描述如何验证数字签名的页面（不是如何下载特定版本的源代码）
   • https://download.lineageos.org/FP3 - Fairphone 3 的下载，既不可能下载确切的源代码，也看不到确切的提交哈希）
   • https://wiki.lineageos.org/devices/FP3/build - 如何构建你自己的版本（现在关于如何检查一个确切的已经存在的构建的源代码）
   • https://wiki.lineageos.org/signing_builds - 如何签署我的构建（与上述相同的问题）
   • https://mirrorbits.lineageos.org/full/FP3/20221114/lineage-19.1-20221114-nightly-FP3-signed.zip 这是一个特定版本的 URL，但是它的父目录无法访问 https://mirrorbits.lineageos.org/full/FP3/20221114/ 所以我不知道是否有任何其他文件（比如那个确切版本的源代码 tarball）
   • https://github.com/LineageOS/android_device_fairphone_FP3 AFAIK 这是 Fairphone 3 的存储库（但我没有看到下载页面中的特定图像与其特定的 git 标签或 git hash 等之间的引用）

   目前在我看来，我必须从下载页面（例如20221114）中获取日期，然后从官方存储库中手动猜测确切的提交哈希值。在我看来，这似乎是一种不科学的方法。

   感谢您澄清如何下载任何特定官方 LineageOS 版本的确切源代码。

Answer 1

简短的回答，你不能。

长答案：你可以，但这样你就永远不会得到同样精确的包裹。而且（恕我直言）你也会浪费大量的时间和资源。

LineageOS 有大量的回购协议，它不仅仅是一个回购协议。您仍然可以从他们的清单中同步整个源并在特定日期检查所有内容，在您的情况下是在测试构建的日期。 之后，您可以使用 LineageOS 构建指南自行构建非官方版本。但是，它不会与官方构建完全匹配，因为除其他因素外，您缺少用于签署官方构建的签名密钥，这是私有的（应该是私有的）。这就是官方构建与非官方构建的区别。

关于结帐部分，您可以查看here，了解该特定构建中添加的最新提交。

祝你好运！