Nix 2.27.0 特性详解Git 子模块自声明、LFS 拉取、BLAKE3 哈希与 chroot store 增强【免费下载链接】nixNix, the purely functional package manager项目地址: https://gitcode.com/gh_mirrors/ni/nixNix 2.27.02025-03-03 发布是纯函数式包管理器 Nix 的一个重要里程碑版本主要围绕flake 输入声明能力与底层基础设施健壮性两大主线展开flake 现在可以在自身声明中要求启用 Git 子模块与 Git LFS不再依赖调用方传参nix flake prefetch新增--out-link输出链接选项求值器以联合文件系统视图修复了 chroot store 场景下builtins.path/builtins.filterSource的缺陷同时引入 BLAKE3 哈希算法作为实验特性并修复了 curl 套接字未设置FD_CLOEXEC导致的文件描述符泄漏问题。读完本文你将掌握这些新特性的声明语法、命令行用法、实验特性开关方式以及它们背后的源码实现原理。版本概览2.27.0 的关键变化本次发布没有引入破坏性的语言或配置变更而是对 flake 生态的输入自描述能力做了关键补强。核心变化可归纳为以下六点flake 可通过inputs.self.submodules true声明自身需要 Git 子模块Git fetcher 支持通过lfs true拉取 Git LFS 文件flake 亦可声明inputs.self.lfs true求值器以 union联合视图呈现/nix/store修复 chroot store 下的路径访问问题nix flake prefetch新增--out-link选项curl 创建的套接字现在会设置FD_CLOEXEC避免nix shell等命令中连接被无限期持有新增 BLAKE3 哈希算法实验特性blake3-hashes。这些变化在源码中都有明确的落点Git fetcher 的参数解析位于 src/libfetchers/git.ccBLAKE3 实现在 src/libutil/hash.cc求值器的 union 文件系统视图构建于 src/libexpr/eval.cccurl 套接字回调则位于 src/libstore/filetransfer.cc。Flake 输入自声明inputs.self.submodules在 2.27.0 之前如果一个 Git 仓库类型的 flake 依赖子模块调用方必须在引用该 flake 时显式传入submodules true例如githttps://example.com/repo?submodules1这对 flake 的使用者很不友好——是否启用子模块本应是仓库自身的属性。2.27.0 引入了inputs.self.submodules属性让 flake 在自身声明中即可表达这一需求{ inputs.self.submodules true; }这样无论调用方是否显式传入submodules trueNix 在拉取该 flake 时都会自动启用子模块。文档明确说明因此flake 的调用方不再需要传递submodules true。从源码看该特性的实现路径清晰可循fetcher 参数表中声明了submodules这一Bool类型可选参数默认值为false见 src/libfetchers/git.ccflake 输入中的inputs.self.submodules会被转换为 fetcher 的submodules属性通过maybeGetBoolAttr(input.attrs, submodules).value_or(false)读取见 src/libfetchers/git.cc当仓库检出子模块后fetcher 会进入挂载式处理路径拉取各子模块并将它们以mounted input accessor的形式挂载到仓库树中的对应路径使子模块内容如同普通目录一样可被求值器读取见 src/libfetchers/git.cc。值得注意的实现细节是子模块信息源自 Git 索引中的 gitlink 条目而非仅解析.gitmodules文件相关逻辑位于 src/libfetchers/git-utils.cc这保证了与git submodule update行为的一致性。此外submodules与exportIgnore目前不能同时使用二者组合会抛出UnimplementedError见 src/libfetchers/git.cc写作 flake 时需留意这一限制。Git LFS 支持lfs true与inputs.self.lfsGit 仓库中的大文件通常通过 Git LFSLarge File Storage管理实际文件内容存储于独立的 LFS 端点仓库中只保存指针文件。此前 Nix 的 Git fetcher 无法解析这些指针导致含 LFS 文件的仓库被拉取后内容不完整。2.27.0 为 Git fetcher 新增了 LFS 支持通过传入lfs true开启nix flake prefetch gitssh://gitgithub.com/Apress/repo-with-large-file-storage.git?lfs1与子模块一样flake 也可以在自身声明中声明需要 LFS{ inputs.self.lfs true; }源码层面的佐证包括fetcher 参数表中声明了lfs这一Bool类型可选参数文档注释为 Fetch any Git LFS files.默认值为false见 src/libfetchers/git.cc当lfs true时fetcher 会通过attrs.insert_or_assign(lfs, Explicitbool{smudgeLfs})将 LFS 标志写入派生属性驱动后续的 LFS 指针解析见 src/libfetchers/git.ccLFS 的底层实现指针文件识别、按需下载等位于 src/libfetchers/git-lfs-fetch.cc并有配套的单元测试 src/libfetchers-tests/git-lfs-fetch.cc 覆盖。该特性由贡献者 b-camacho 与 kip93 共同实现。对于包含二进制大文件的软件仓库这是将 Nix 引入既有 Git 工作流时很实用的一项能力。chroot store 的 union 视图修复builtins.path与builtins.filterSource当用户使用 chroot store即 store 目录并非宿主机的/nix/store而是位于 chroot 环境内时部分输入仍可能位于宿主机的/nix/store。旧版求值器在处理这种物理路径与逻辑 store 目录不一致的情况时存在缺陷甚至需要借助一些 hack 才能让builtins.path与builtins.filterSource正常工作对应问题见 [#11503]。2.27.0 的解决方案是求值器现在呈现宿主机/nix/store与 chroot store 的union联合文件系统视图。求值器看到的 store 目录是两层文件的叠加底层是宿主文件系统上层是经过重定位的store 文件系统。这一机制在EvalState构造时建立store 文件系统通过makeMountedSourceAccessor构建将 store 目录挂载到根文件系统之上见 src/libexpr/eval.cc在非纯求值模式下根文件系统使用makeUnionSourceAccessor将宿主文件系统与 store 文件系统合并使增强后的 store在其逻辑位置可见同时保留底层目录见 src/libexpr/eval.cc源码注释明确说明了这一场景例如在使用 chroot store 的同时求值来自物理/nix/store的文件见 src/libexpr/eval.cc。该改动同时移除了此前为兼容 chroot store 而引入的、导致builtins.{path,filterSource}失效的 hack。对使用store /nix/store之外目录如nix-daemon的 chroot 沙箱或自定义 store 布局的用户而言这意味着求值行为与文件路径引用变得更加一致可靠。nix flake prefetch新增--out-linknix flake prefetch用于预取 flake 输入Git 仓库、tarball 等到 store 并输出其哈希与 store 路径常用于 CI 预热缓存或校验上游内容。2.27.0 为其新增了--out-link选项可在当前目录生成指向所取 store 路径的符号链接便于立即访问或引用预取结果nix flake prefetch https://cdn.kernel.org/pub/linux/kernel/v5.x/linux-5.10.5.tar.xz --out-link ./result命令执行后./result即指向刚下载到 store 的源码树可直接cat ./result/README等操作示例见 src/nix/flake-prefetch.md。该选项的语义与nix build等命令的--out-link短选项-o保持一致本质是通过LocalFSStore::addPermRoot在本地文件系统注册一个指向 store 路径的永久根引用。curl 套接字FD_CLOEXEC修复在 2.27.0 之前curl 创建的套接字没有设置FD_CLOEXEC/SOCK_CLOEXEC标志。这意味着当 Nix 执行nix shell等会 spawn 子进程的命令时这些套接字描述符可能被继承到子进程中导致连接永远无法关闭——即使父进程已经退出网络连接仍被意外持有。修复方式是通过 curl 的CURLOPT_SOCKOPTFUNCTION回调在套接字创建后立即设置FD_CLOEXEC回调cloexec_callback调用unix::closeOnExec(curlfd)后返回CURL_SOCKOPT_OK见 src/libstore/filetransfer.cc该回调通过curl_easy_setopt(req, CURLOPT_SOCKOPTFUNCTION, cloexec_callback)注册见 src/libstore/filetransfer.cccloseOnExec的底层实现通过F_GETFD/F_SETFD | FD_CLOEXEC修改描述符标志见 src/libutil/unix/file-descriptor.cc该回调仅应用于非 Windows 平台。这一改动属于典型的小改动、大收益类修复它消除了长期潜伏的描述符泄漏隐患提升了nix shell、nix develop等交互式命令在长时间运行或多进程场景下的可靠性。BLAKE3 哈希算法实验特性blake3-hashes2.27.0 新增对 BLAKE3 哈希算法的支持作为实验特性blake3-hashes提供。BLAKE3 以高吞吐量著称且原生支持并行化适合大文件的完整性校验。启用方式如下# nix hash file ./file --type blake3 --extra-experimental-features blake3-hashes blake3-34P4piZXcbbyB1i4uoF7eWCGcZHjmaRn6Y7QdynLwU输出格式延续 Nix 的 SRI 风格blake3-base64即算法前缀加 Base64 编码的 32 字节摘要。相关实现要点实验特性在 src/libutil/experimental-features.cc 中注册名为blake3-hashes描述为 Enables support for BLAKE3 hashes核心实现位于 src/libutil/hash.cchashAlgorithms集合包含{blake3, md5, sha1, sha256, sha512}哈希上下文封装了blake3_hasher及其初始化、更新、finalize 流程见 src/libutil/hash.cc从源码看BLAKE3 更新路径带有并行化启发式当数据量达到阈值blake3TbbThreshold约 128000 字节时会切换到基于 TBB 的多线程哈希blake3_hasher_update_tbb小数据块则使用单线程版本见 src/libutil/hash.cc构建层面依赖libblake3见 src/libutil/meson.build 与 src/libutil/package.nix并注册了库版本信息用于nix doctor诊断见 src/libutil/register-library-versions.cc。需要注意的是由于这是实验特性nix hash file --type blake3需要显式传入--extra-experimental-features blake3-hashes或提前在nix.conf中配置experimental-features blake3-hashes且nix hash的报错信息会提示可用算法集合为 blake3, md5, sha1, sha256, sha512见 src/libutil/hash.cc。小结Nix 2.27.0 通过inputs.self.submodules与inputs.self.lfs让 flake 的输入需求实现自描述显著改善了 Git 仓库类输入的使用体验union 文件系统视图与 curlFD_CLOEXEC修复属于扎实的基础设施加固--out-link让nix flake prefetch更易于集成进脚本BLAKE3 则为大文件校验提供了更快的可选路径。该版本由 21 位贡献者共同完成主要实现分布于 src/libfetchers子模块与 LFS、src/libexpr/eval.ccunion 视图、src/libstore/filetransfer.cc套接字修复与 src/libutil/hash.ccBLAKE3等模块读者可结合上述源码路径进一步研读实现细节。【免费下载链接】nixNix, the purely functional package manager项目地址: https://gitcode.com/gh_mirrors/ni/nix创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Nix 2.27.0 特性详解：Git 子模块自声明、LFS 拉取、BLAKE3 哈希与 chroot store 增强
Nix 2.27.0 特性详解Git 子模块自声明、LFS 拉取、BLAKE3 哈希与 chroot store 增强【免费下载链接】nixNix, the purely functional package manager项目地址: https://gitcode.com/gh_mirrors/ni/nixNix 2.27.02025-03-03 发布是纯函数式包管理器 Nix 的一个重要里程碑版本主要围绕flake 输入声明能力与底层基础设施健壮性两大主线展开flake 现在可以在自身声明中要求启用 Git 子模块与 Git LFS不再依赖调用方传参nix flake prefetch新增--out-link输出链接选项求值器以联合文件系统视图修复了 chroot store 场景下builtins.path/builtins.filterSource的缺陷同时引入 BLAKE3 哈希算法作为实验特性并修复了 curl 套接字未设置FD_CLOEXEC导致的文件描述符泄漏问题。读完本文你将掌握这些新特性的声明语法、命令行用法、实验特性开关方式以及它们背后的源码实现原理。版本概览2.27.0 的关键变化本次发布没有引入破坏性的语言或配置变更而是对 flake 生态的输入自描述能力做了关键补强。核心变化可归纳为以下六点flake 可通过inputs.self.submodules true声明自身需要 Git 子模块Git fetcher 支持通过lfs true拉取 Git LFS 文件flake 亦可声明inputs.self.lfs true求值器以 union联合视图呈现/nix/store修复 chroot store 下的路径访问问题nix flake prefetch新增--out-link选项curl 创建的套接字现在会设置FD_CLOEXEC避免nix shell等命令中连接被无限期持有新增 BLAKE3 哈希算法实验特性blake3-hashes。这些变化在源码中都有明确的落点Git fetcher 的参数解析位于 src/libfetchers/git.ccBLAKE3 实现在 src/libutil/hash.cc求值器的 union 文件系统视图构建于 src/libexpr/eval.cccurl 套接字回调则位于 src/libstore/filetransfer.cc。Flake 输入自声明inputs.self.submodules在 2.27.0 之前如果一个 Git 仓库类型的 flake 依赖子模块调用方必须在引用该 flake 时显式传入submodules true例如githttps://example.com/repo?submodules1这对 flake 的使用者很不友好——是否启用子模块本应是仓库自身的属性。2.27.0 引入了inputs.self.submodules属性让 flake 在自身声明中即可表达这一需求{ inputs.self.submodules true; }这样无论调用方是否显式传入submodules trueNix 在拉取该 flake 时都会自动启用子模块。文档明确说明因此flake 的调用方不再需要传递submodules true。从源码看该特性的实现路径清晰可循fetcher 参数表中声明了submodules这一Bool类型可选参数默认值为false见 src/libfetchers/git.ccflake 输入中的inputs.self.submodules会被转换为 fetcher 的submodules属性通过maybeGetBoolAttr(input.attrs, submodules).value_or(false)读取见 src/libfetchers/git.cc当仓库检出子模块后fetcher 会进入挂载式处理路径拉取各子模块并将它们以mounted input accessor的形式挂载到仓库树中的对应路径使子模块内容如同普通目录一样可被求值器读取见 src/libfetchers/git.cc。值得注意的实现细节是子模块信息源自 Git 索引中的 gitlink 条目而非仅解析.gitmodules文件相关逻辑位于 src/libfetchers/git-utils.cc这保证了与git submodule update行为的一致性。此外submodules与exportIgnore目前不能同时使用二者组合会抛出UnimplementedError见 src/libfetchers/git.cc写作 flake 时需留意这一限制。Git LFS 支持lfs true与inputs.self.lfsGit 仓库中的大文件通常通过 Git LFSLarge File Storage管理实际文件内容存储于独立的 LFS 端点仓库中只保存指针文件。此前 Nix 的 Git fetcher 无法解析这些指针导致含 LFS 文件的仓库被拉取后内容不完整。2.27.0 为 Git fetcher 新增了 LFS 支持通过传入lfs true开启nix flake prefetch gitssh://gitgithub.com/Apress/repo-with-large-file-storage.git?lfs1与子模块一样flake 也可以在自身声明中声明需要 LFS{ inputs.self.lfs true; }源码层面的佐证包括fetcher 参数表中声明了lfs这一Bool类型可选参数文档注释为 Fetch any Git LFS files.默认值为false见 src/libfetchers/git.cc当lfs true时fetcher 会通过attrs.insert_or_assign(lfs, Explicitbool{smudgeLfs})将 LFS 标志写入派生属性驱动后续的 LFS 指针解析见 src/libfetchers/git.ccLFS 的底层实现指针文件识别、按需下载等位于 src/libfetchers/git-lfs-fetch.cc并有配套的单元测试 src/libfetchers-tests/git-lfs-fetch.cc 覆盖。该特性由贡献者 b-camacho 与 kip93 共同实现。对于包含二进制大文件的软件仓库这是将 Nix 引入既有 Git 工作流时很实用的一项能力。chroot store 的 union 视图修复builtins.path与builtins.filterSource当用户使用 chroot store即 store 目录并非宿主机的/nix/store而是位于 chroot 环境内时部分输入仍可能位于宿主机的/nix/store。旧版求值器在处理这种物理路径与逻辑 store 目录不一致的情况时存在缺陷甚至需要借助一些 hack 才能让builtins.path与builtins.filterSource正常工作对应问题见 [#11503]。2.27.0 的解决方案是求值器现在呈现宿主机/nix/store与 chroot store 的union联合文件系统视图。求值器看到的 store 目录是两层文件的叠加底层是宿主文件系统上层是经过重定位的store 文件系统。这一机制在EvalState构造时建立store 文件系统通过makeMountedSourceAccessor构建将 store 目录挂载到根文件系统之上见 src/libexpr/eval.cc在非纯求值模式下根文件系统使用makeUnionSourceAccessor将宿主文件系统与 store 文件系统合并使增强后的 store在其逻辑位置可见同时保留底层目录见 src/libexpr/eval.cc源码注释明确说明了这一场景例如在使用 chroot store 的同时求值来自物理/nix/store的文件见 src/libexpr/eval.cc。该改动同时移除了此前为兼容 chroot store 而引入的、导致builtins.{path,filterSource}失效的 hack。对使用store /nix/store之外目录如nix-daemon的 chroot 沙箱或自定义 store 布局的用户而言这意味着求值行为与文件路径引用变得更加一致可靠。nix flake prefetch新增--out-linknix flake prefetch用于预取 flake 输入Git 仓库、tarball 等到 store 并输出其哈希与 store 路径常用于 CI 预热缓存或校验上游内容。2.27.0 为其新增了--out-link选项可在当前目录生成指向所取 store 路径的符号链接便于立即访问或引用预取结果nix flake prefetch https://cdn.kernel.org/pub/linux/kernel/v5.x/linux-5.10.5.tar.xz --out-link ./result命令执行后./result即指向刚下载到 store 的源码树可直接cat ./result/README等操作示例见 src/nix/flake-prefetch.md。该选项的语义与nix build等命令的--out-link短选项-o保持一致本质是通过LocalFSStore::addPermRoot在本地文件系统注册一个指向 store 路径的永久根引用。curl 套接字FD_CLOEXEC修复在 2.27.0 之前curl 创建的套接字没有设置FD_CLOEXEC/SOCK_CLOEXEC标志。这意味着当 Nix 执行nix shell等会 spawn 子进程的命令时这些套接字描述符可能被继承到子进程中导致连接永远无法关闭——即使父进程已经退出网络连接仍被意外持有。修复方式是通过 curl 的CURLOPT_SOCKOPTFUNCTION回调在套接字创建后立即设置FD_CLOEXEC回调cloexec_callback调用unix::closeOnExec(curlfd)后返回CURL_SOCKOPT_OK见 src/libstore/filetransfer.cc该回调通过curl_easy_setopt(req, CURLOPT_SOCKOPTFUNCTION, cloexec_callback)注册见 src/libstore/filetransfer.cccloseOnExec的底层实现通过F_GETFD/F_SETFD | FD_CLOEXEC修改描述符标志见 src/libutil/unix/file-descriptor.cc该回调仅应用于非 Windows 平台。这一改动属于典型的小改动、大收益类修复它消除了长期潜伏的描述符泄漏隐患提升了nix shell、nix develop等交互式命令在长时间运行或多进程场景下的可靠性。BLAKE3 哈希算法实验特性blake3-hashes2.27.0 新增对 BLAKE3 哈希算法的支持作为实验特性blake3-hashes提供。BLAKE3 以高吞吐量著称且原生支持并行化适合大文件的完整性校验。启用方式如下# nix hash file ./file --type blake3 --extra-experimental-features blake3-hashes blake3-34P4piZXcbbyB1i4uoF7eWCGcZHjmaRn6Y7QdynLwU输出格式延续 Nix 的 SRI 风格blake3-base64即算法前缀加 Base64 编码的 32 字节摘要。相关实现要点实验特性在 src/libutil/experimental-features.cc 中注册名为blake3-hashes描述为 Enables support for BLAKE3 hashes核心实现位于 src/libutil/hash.cchashAlgorithms集合包含{blake3, md5, sha1, sha256, sha512}哈希上下文封装了blake3_hasher及其初始化、更新、finalize 流程见 src/libutil/hash.cc从源码看BLAKE3 更新路径带有并行化启发式当数据量达到阈值blake3TbbThreshold约 128000 字节时会切换到基于 TBB 的多线程哈希blake3_hasher_update_tbb小数据块则使用单线程版本见 src/libutil/hash.cc构建层面依赖libblake3见 src/libutil/meson.build 与 src/libutil/package.nix并注册了库版本信息用于nix doctor诊断见 src/libutil/register-library-versions.cc。需要注意的是由于这是实验特性nix hash file --type blake3需要显式传入--extra-experimental-features blake3-hashes或提前在nix.conf中配置experimental-features blake3-hashes且nix hash的报错信息会提示可用算法集合为 blake3, md5, sha1, sha256, sha512见 src/libutil/hash.cc。小结Nix 2.27.0 通过inputs.self.submodules与inputs.self.lfs让 flake 的输入需求实现自描述显著改善了 Git 仓库类输入的使用体验union 文件系统视图与 curlFD_CLOEXEC修复属于扎实的基础设施加固--out-link让nix flake prefetch更易于集成进脚本BLAKE3 则为大文件校验提供了更快的可选路径。该版本由 21 位贡献者共同完成主要实现分布于 src/libfetchers子模块与 LFS、src/libexpr/eval.ccunion 视图、src/libstore/filetransfer.cc套接字修复与 src/libutil/hash.ccBLAKE3等模块读者可结合上述源码路径进一步研读实现细节。【免费下载链接】nixNix, the purely functional package manager项目地址: https://gitcode.com/gh_mirrors/ni/nix创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考