如何检查 PPA 包是否被篡改？

Question

我想使用来自 PPA 的最新包。我如何确保 PPA 维护者没有在那里提供的版本中添加任何恶意代码？

Answer 1

1. 安装devscripts软件包。
2. 转到 PPA 页面并找到与您感兴趣的包相关联的源包文件。找到以 结尾的那个.dsc。
3. 运行命令。这将下载用于构建包的源代码并将其解压缩到一个目录中。将此目录重命名为.dget url_of_dsc_fileppa
4. 获取原始源代码以比较 PPA。这可能是从项目网站的原始上游压缩包对应的版本，您正在使用，或者包装的最新Ubuntu官方版本（你可以找到后者的链接.dsc从）。下载并解压它，然后将此目录重命名为，如果需要，可以使用从 下载。https://launchpad.net/ubuntu/+source/source_package_nameupstreamdget.dsc
5. 现在比较upstream和ppa目录，看看是否引入了任何恶意更改ppa，而upstream. 您可以为此使用 meld，它是一个图形差异查看器。apt-get install meld，然后运行meld upstream ppa。它将显示哪些文件是新的、更改的或删除的，您可以双击文件以易于查看的格式查看详细的更改。

由于 PPA 是从 Canonical 基础架构上的源代码构建的，因此您可以相信从 PPA 安装的二进制文件与您在上面查看的源代码相匹配，前提是您信任 Canonical。鉴于您首先信任 Canonical 来构建 Ubuntu，这应该是可以接受的。