с апреля

> был загружен 153 раз

с ноября

Мда... прям заслуживает отдельной новости на опеньке)))

Потом ещё с proc макросами можно будет поэкспериментировать %~]

В данном случае - это просто заливка злоумышленником новых пакетов.

Разница огромна.

Да, по сути, ты правильно понял. 😅

Начиная с Rust 1.81, процесс сборки сильно ужесточили в части управления зависимостями:

x.py и bootstrap Cargo теперь почти всегда используют --frozen для root-сборки, чтобы гарантировать воспроизводимость.

Любые изменения в исходниках, патчи или локальные зависимости требуют, чтобы Cargo.lock точно соответствовал состоянию исходников, иначе сборка падает с ошибкой вроде:

the lock file ... needs to be updated but --frozen was passed to prevent this

При оффлайн-сборке это особенно болезненно, потому что обновить lock через cargo update без сети невозможно.

⚠️ Итог: собрать Rust из официального релиза без доступа к сети и без точного lock-файла, если есть локальные патчи, становится практически нереально.

Фактически, это означает, что для воспроизводимой оффлайн-сборки:

Нужно заранее подготовить все актуальные Cargo.lock для bootstrap, library и инструментов.

Либо патчить x.py, чтобы убрать --frozen при оффлайн root-сборке — но это официально не поддерживается.
"""

нормальные программы можно собрать из исходников изолированно с помощью gcc, даже go, go1.4 -> go1.17 и тд, но не rust, это особая ржавчина в СПО

Читается как роспись в собственном бессилии. Т.е. предупредили- молодцы, а дальше что? Проверять антивирусом, удалять вредоносы или что? А если эти пакеты стоят в зависимостях, что делать? Вредонос загрузили в апреле, с апреля могло собраться много чего и что теперь пересобирать все? А пользователям что делать, удалять все пакеты с апреля? Ни хрена не понятно.

Это shai-hulud-rust на самом деле, но ему хвост обрубили.