摘要： 本文介绍了OSS Rebuild项目，旨在通过重新构建开源软件包来加强对其生态系统的信任。该项目自动化地生成现有Python、JavaScript/TypeScript和Rust包的声明性构建定义，并为数千个包提供SLSA Provenance，以满足SLSA Build Level 3要求。OSS Rebuild提供构建可观察性和验证工具，帮助安全团队整合到现有的漏洞管理流程中。项目旨在通过提高包消费的透明度，使安全团队能够深入了解和控制其供应链。OSS Rebuild可以帮助检测供应链妥协，如未提交的源代码、构建环境妥协和隐蔽的后门。此外，它还提供了增强元数据、丰富SBOM和加速漏洞响应等功能。
讨论： 这段内容主要讨论了一个名为ReprOS的项目，该项目旨在通过提供一个不可变的、确定性的操作系统来减少信任风险。作者lrvick介绍了ReprOS的功能，包括使用全源代码引导和构建过程。simonw对项目表示兴奋，但建议增加一个Web界面以减少使用CLI工具的摩擦。Flux159询问了关于构建定义和认证系统的细节，并提出了对Linux发行版仓库中包的考虑。WhatIsDukkha认为ReprOS只是一个半成品，并推荐使用guix进行客户端构建。riffraff询问了系统如何检测异常的构建模式。Weethet提到nixpkgs已经有很多库和可执行文件，并质疑ReprOS的优势。bgwalter提到了开源软件的价值，并预测ReprOS可能不会持续太久。ChrisArchitect则分享了一个与依赖相关的xkcd漫画链接。
原文标题：OSS Rebuild: open-source, rebuilt to last
原文链接：https://security.googleblog.com/2025/07/introducing-oss-rebuild-open-source.html
讨论链接：https://news.ycombinator.com/item?id=44646925