3. 全量包制作核心流程

全量包制作，说白了就是把一堆零散的文件，打包成一个有身份、有防伪标记的完整交付物。我刚开始接触这个流程时，总觉得不就是打个 zip 包吗？后来踩过几次坑才明白——真正的核心在于元数据、校验和与签名这三道工序。

这一章，我带你把整个流程走一遍。先看全局，再拆细节。

3.1 全量包制作的四步骨架

我个人习惯把全量包制作拆成四个阶段。每个阶段都有明确的输入和输出，缺一不可。

你想想看，如果只打包不签名，那跟公开下载一个 zip 没区别。如果只签名不做校验和，签名本身也防不住文件被篡改。四步环环相扣，少一步都不行。

3.2 文件打包：不只是压缩

打包阶段最容易出问题。很多人以为用 tar 或 zip 把目录一压就完事了。其实不然。

我遇到过最典型的坑：打包时把绝对路径带进去了。结果在目标设备上解包时，文件全散落在根目录下，差点把系统搞崩。

正确的做法是：

• 使用相对路径打包，以目标根目录为基准
• 保留文件权限位（尤其是可执行位）
• 保留符号链接，不要解引用
• 统一换行符和编码（建议 UTF-8 without BOM）

# 正确的打包方式示例
cd /build/output/system
tar --owner=0 --group=0 \
    --numeric-owner \
    --format=ustar \
    -cf ../system.tar .

这里我特意用了 --owner=0 --group=0。为什么？因为全量包在目标设备上通常以 root 身份解包，如果打包时保留了构建机的 uid/gid，解包后权限就乱了。

3.3 元数据生成：包的身份证

元数据文件（通常叫 manifest 或 META-INF）记录了包里每个文件的属性。它是后续校验和计算和签名的数据源。

一份标准的元数据清单至少包含：

• 文件名：相对路径
• 文件大小：字节数
• 修改时间：Unix 时间戳或 ISO 8601
• 权限位：八进制表示（如 0644、0755）
• 文件类型：普通文件、目录、符号链接

我曾经在元数据里漏掉了符号链接字段，结果解包时所有软链接都变成了空文件。排查了半天才发现是元数据生成脚本没处理 lstat 和 stat 的区别。

# 元数据生成脚本核心逻辑（伪代码）
for each file in filelist:
    stat = lstat(file)  # 注意用 lstat 而非 stat
    entry = {
        "name": file,
        "size": stat.size,
        "mode": oct(stat.mode),
        "mtime": stat.mtime,
        "type": "symlink" if S_ISLNK(stat.mode) else "file"
    }
    if entry.type == "symlink":
        entry.target = readlink(file)
    manifest.append(entry)

3.4 校验和计算：给包上指纹

校验和就是包的指纹。哪怕只改了一个 bit，指纹也会完全变化。

目前业界主流做法是：

• SHA-256：安全强度足够，性能可接受
• SHA-512：更高安全等级，适合对安全性极其敏感的场景
• BLAKE2：比 SHA 系列更快，部分新项目开始采用

我个人建议全量包用 SHA-256。原因很简单：兼容性好，几乎所有平台都原生支持。SHA-1 已经不安全了，MD5 更是早就被攻破。

# 计算整个包的校验和
sha256sum system.tar > system.tar.sha256

# 更严谨的做法：对元数据逐文件计算
for file in $(cat filelist.txt); do
    sha256sum "$file" >> checksum.list
done

这里有个细节：校验和计算的对象是整个包还是包内每个文件？两种做法都有。我的经验是：双重校验——既对整个包做一次校验和，也对包内每个文件做一次。前者用于快速验证包是否损坏，后者用于细粒度定位哪个文件出了问题。

3.5 签名流程概览：防伪与防篡改

签名是最后一道防线。它用私钥对校验和进行加密签名，公钥随包发布或预置在设备中。

签名流程大致如下：

1. 对校验和文件（或元数据）做哈希运算
2. 用私钥对哈希值进行签名
3. 将签名结果写入签名文件（如 .sig 或 .sign）
4. 将签名文件打包进全量包

# 使用 OpenSSL 签名示例
# 1. 生成私钥（仅一次）
openssl genrsa -out private.pem 2048

# 2. 导出公钥
openssl rsa -in private.pem -pubout -out public.pem

# 3. 对校验和文件签名
openssl dgst -sha256 -sign private.pem \
    -out system.tar.sha256.sig system.tar.sha256

# 4. 验证签名
openssl dgst -sha256 -verify public.pem \
    -signature system.tar.sha256.sig system.tar.sha256

3.6 全流程关系图

下面这张图把四个阶段串起来了。你可以看到数据流向和依赖关系。

从图上你能看到：文件打包和元数据生成是并行的，但校验和计算依赖前两者的输出。签名是最后一步，它把校验和文件用私钥加密，生成不可伪造的签名文件。最终，原始包、元数据、校验和、签名文件一起打包成可交付的全量包。

3.7 避坑清单

最后，我把这些年踩过的坑整理成一张清单。你照着做，能省不少调试时间。

嗯，这一章的内容就到这儿。流程骨架搭好了，后面几章我们再逐个阶段深入，把每个细节敲实。