在 WORKSPACE 规则中查找非封闭行为

报告问题查看来源每晚 · 7.4。，了解所有最新动态。 7.3 · 7.2 · 7.1 · 7.0 · 6.5

在下文中，宿主机是指运行 Bazel 的机器。

使用远程执行时，实际的构建和/或测试步骤而是发送到远程执行系统。不过，解析工作区规则所涉及的步骤在主机上运行。如果您的工作区规则访问的是供其在执行期间使用，则您的构建可能会由于以下原因环境之间的不兼容问题。

在调整 Bazel 规则以进行远程执行时，您需要找到此类 Workspace 规则并进行修复。本页面介绍了如何查找可能存在问题的工作区创建规则

查找非密封规则

工作区规则允许开发者向外部工作区，但它们非常丰富，可以允许任意处理重要性所有相关命令都在本地执行，可以是可能是非封闭的潜在来源通常情况下，非封闭行为引入 repository_ctx，它允许与与宿主机配合使用

从 Bazel 0.18 开始，您可以通过向 Bazel 命令添加 --experimental_workspace_rules_log_file=[PATH] 标志来获取某些可能非密封操作的日志。其中 [PATH] 是用于创建日志的文件名。

需注意的事项：

日志会在事件执行时捕获事件。如果某些步骤已缓存，则不会显示在日志中，因此，如需获取完整结果，请务必先运行 bazel clean --expunge。
有时，函数可能会被重新执行，在这种情况下，相关事件会在日志中多次显示。
Workspace 规则目前仅记录 Starlark 事件。

注意：只要这些特定的规则不会导致漏网，。

如需查找在工作区初始化期间执行的内容，请执行以下操作：

运行 bazel clean --expunge。此命令将清除您的本地缓存和所有缓存的代码库，确保重新运行所有初始化。
将--experimental_workspace_rules_log_file=/tmp/workspacelog添加到您的运行 Bazel 命令并运行构建。

这将生成一个二进制 proto 文件，其中列出了消息类型 WorkspaceEvent
下载 Bazel 源代码，然后使用以下命令导航到 Bazel 文件夹。您需要源代码才能使用 workspacelog 解析器解析 Workspace 日志。
```
git clone https://github.com/bazelbuild/bazel.git
cd bazel
```

在 Bazel 源代码库中，将整个工作区日志转换为文本。

bazel build src/tools/workspacelog:parser
bazel-bin/src/tools/workspacelog/parser --log_path=/tmp/workspacelog > /tmp/workspacelog.txt

输出可能非常详细，并且包含来自内置 Bazel 的输出规则。

如需从输出中排除特定规则，请使用 --exclude_rule 选项。例如：

bazel build src/tools/workspacelog:parser
bazel-bin/src/tools/workspacelog/parser --log_path=/tmp/workspacelog \
    --exclude_rule "//external:local_config_cc" \
    --exclude_rule "//external:dep" > /tmp/workspacelog.txt

打开 /tmp/workspacelog.txt 并检查是否存在不安全的操作。

该日志由 WorkspaceEvent 消息组成，其中概述了对 repository_ctx 执行的某些可能非密封的操作。

已突出显示为可能非封闭的操作如下：

execute：在主机环境中执行任意命令。检查这些操作是否可能会在主机环境中引入任何依赖项。
download、download_and_extract：为确保封闭构建，已指定 sha256
file、template：这本身不是非封闭的，但可能是一种机制。将承载环境的依赖项引入存储库中。确保您了解输入内容的来源具体取决于宿主环境
os：这本身并非非封闭，而是一种获取依赖项的简单方法运行容器封闭 build 通常不会调用此 API。在评估您的使用情况是否封闭时，请注意，在主机上运行，而不是在工作器上运行。对于远程构建，通常不建议从主机获取环境具体信息。
symlink：这通常是安全的，但请留意红色标记。指向或绝对路径外，都会导致远程工作者符号链接是否基于宿主机属性创建那么它很可能也会出问题
which：检查主机上安装的程序通常会出现问题，因为工作器可能具有不同的配置。