在下文中，主机是运行 Bazel 的机器。
使用远程执行时，实际构建和/或测试步骤不是发生在主机上，而是发送到远程执行系统。不过，解析工作区规则所涉及的步骤是在主机上执行的。如果您的工作区规则访问主机的相关信息以在执行期间使用，则构建可能会由于环境之间不兼容而中断。
在调整 Bazel 规则以进行远程执行时，您需要找到此类 Workspace 规则并进行修正。本页介绍了如何使用工作区日志查找可能存在问题的工作区规则。
查找非封闭规则
工作区规则允许开发者将依赖项添加到外部工作区，但它们足够丰富，以允许在此过程中进行任意处理。所有相关命令都在本地执行，并且可能是导致非密封性的潜在来源。通常，非封闭行为是通过 repository_ctx 引入的，该函数允许与宿主机进行交互。
从 Bazel 0.18 开始，您可以向 Bazel 命令添加 --experimental_workspace_rules_log_file=[PATH] 标志，以获取某些可能的非封闭操作的日志。其中 [PATH] 是用于创建日志的文件名。
需注意的事项：
日志会在事件执行时捕获它们如果某些步骤已缓存，则不会显示在日志中，因此，为了获取完整结果，请务必先运行
bazel clean --expunge。有时，函数可能会被重新执行，在这种情况下，相关事件会在日志中多次显示。
Workspace 规则目前仅会记录 Starlark 事件。
如需了解在工作区初始化期间执行了哪些操作，请执行以下操作：
运行
bazel clean --expunge。此命令将清除您的本地缓存和所有缓存的代码库，确保重新运行所有初始化。将
--experimental_workspace_rules_log_file=/tmp/workspacelog添加到 Bazel 命令并运行 build。这会生成一个二进制 proto 文件，其中列出了类型为 WorkspaceEvent 的消息
下载 Bazel 源代码，然后使用以下命令导航到 Bazel 文件夹。您需要源代码才能使用工作区日志解析器解析工作区日志。
git clone https://github.com/bazelbuild/bazel.gitcd bazel在 Bazel 源代码库中，将整个工作区日志转换为文本。
bazel build src/tools/workspacelog:parserbazel-bin/src/tools/workspacelog/parser --log_path=/tmp/workspacelog > /tmp/workspacelog.txt输出可能非常详细，并包含内置 Bazel 规则的输出。
如需从输出中排除特定规则，请使用
--exclude_rule选项。例如：bazel build src/tools/workspacelog:parserbazel-bin/src/tools/workspacelog/parser --log_path=/tmp/workspacelog \ --exclude_rule "//external:local_config_cc" \ --exclude_rule "//external:dep" > /tmp/workspacelog.txt打开
/tmp/workspacelog.txt并检查是否存在不安全的操作。
该日志由 WorkspaceEvent 消息组成，其中概述了对 repository_ctx 执行的某些可能非密封的操作。
已突出显示为可能非封闭的操作如下：
execute：在主机环境中执行任意命令。检查它们是否可能导致对主机环境产生任何依赖项。download、download_and_extract：为确保密封 build，请务必指定 sha256file、template：这本身并不非密封，但可能是一种将对主机环境的依赖项引入到代码库中的机制。确保您了解输入的来源，并且它不依赖于宿主环境。os：这本身并不非容器化，但是一种获取宿主环境依赖项的简单方法。封闭式 build 通常不会调用此方法。在评估您的使用情况是否是密封的过程中，请注意，此操作是在主机上运行的，而不是在工作器上运行。对于远程构建，通常不适合从主机获取环境详情。symlink：这通常是安全的，但请留意红色标记。指向代码库外部或绝对路径的任何符号链接都会导致远程工作器出现问题。如果符号链接是基于宿主机属性创建的，也可能有问题。which：检查主机上安装的程序通常会出现问题，因为工作器的配置可能不同。