📚 课程目录第4章环境准备

4、环境准备：安装Linux系统（推荐Debian或Parabola）、安装必要工具（git、build-essential、flashrom等）、配置网络与权限、安全注意事项

Libreboot 的构建、刷写与维护工作，本质上是一系列对系统底层硬件和固件进行操作的过程。无论是编译核心bootrom镜像、处理二进制blob（二进制大对象）的剥离，还是通过外部编程器对SPI闪存芯片进行读写，都要求操作者拥有一个高度可控、可复现且安全的软件环境。本章将围绕“构建环境”这一核心主题，从操作系统选型、工具链部署、网络与权限配置到安全加固，系统性地讲解如何搭建一个专业、稳定且符合自由软件哲学的工作平台。选择正确的起点，往往决定了后续固件定制工作的效率与成败。

4.1 操作系统选型：Debian与Parabola的权衡

核心原理：Libreboot 的构建脚本（build system）基于 GNU Make 和 Bash，对操作系统的核心要求是：具备完整的 GNU 工具链、能够安装特定版本的交叉编译器（如 arm-none-eabi-gcc）、支持处理大文件与符号链接，并且内核版本不能过旧（否则无法识别较新的 SPI 控制器）。更重要的是，Libreboot 项目本身遵循 GNU Free System Distribution Guidelines (FSDG)，因此官方文档强烈推荐使用完全自由的发行版。然而，考虑到硬件兼容性和用户的实际使用场景，Debian 作为最广泛使用的自由发行版，在驱动支持和软件包完整性上具有显著优势。

判断方法与选型建议：下表对比了 Debian 与 Parabola 在 Libreboot 构建场景下的关键差异，帮助你根据自身需求做出选择。

对比维度	Debian (稳定版)	Parabola GNU/Linux-libre
自由软件纯度	包含非自由固件（需手动排除）	100% 自由，内核为 Linux-libre
硬件兼容性	优秀，支持广泛（含非自由驱动）	较好，但较新硬件可能缺少驱动
构建依赖获取	apt 源丰富，依赖解析成熟	基于 Arch 的 pacman，滚动更新
稳定性	极高，适合长期构建服务器	滚动更新，可能出现依赖版本漂移
适用场景	初学者、生产环境、多板卡支持	自由软件拥护者、熟悉 Arch 的用户

实战场景：假设你手头有一台 ThinkPad X200，计划为其编译 Libreboot。若你选择 Debian 12 (bookworm)，安装时务必在软件选择界面取消勾选“Debian desktop”和“print server”，仅保留“SSH server”和“standard system utilities”，以减少非自由软件包的引入。安装完成后，编辑 /etc/apt/sources.list，确保仅启用 main 和 contrib 组件，并注释掉包含 non-free 的行。对于 Parabola，安装时选择 base-devel 包组，并注意其默认内核已经是 Linux-libre，无需额外处理。

经验提示：无论选择哪个发行版，建议使用 LTS 内核或发行版自带内核，避免使用自行编译的最新内核。某些 Libreboot 构建脚本对内核配置选项（如 CONFIG_DEVTMPFS）有隐式依赖，发行版默认内核通常已正确配置。

4.2 安装必要工具：构建工具链与刷写工具

核心原理：Libreboot 的构建过程分为两个阶段：交叉编译阶段（生成 coreboot 的 ROM 镜像）和 主机工具阶段（生成如 flashrom、cbfstool 等操作固件的工具）。因此，你需要安装两类工具：一类是通用的编译工具链，另一类是 Libreboot 特有的辅助工具。在 Debian 上，可以通过以下命令一次性安装核心依赖：

sudo apt update
sudo apt install -y git build-essential gcc make bison flex \
    libncurses-dev libssl-dev libftdi1-dev libpci-dev \
    pkg-config autoconf automake libtool \
    flashrom python3 python3-pip unzip wget

对于 Parabola，使用 pacman 安装对应包：

sudo pacman -S --needed base-devel git python python-pip \
    libftdi libpci flashrom unzip wget

操作流程：安装完成后，验证工具链是否可用。执行 gcc --version 确认编译器版本；执行 flashrom --version 确认刷写工具已正确链接 libftdi 和 libpci。特别需要注意的是，flashrom 的版本不能太旧，建议至少为 1.2 或更高，因为 Libreboot 的某些脚本会调用其新特性（如 --ifd 参数）。如果发行版自带的 flashrom 版本过旧，可以从源码编译安装最新版：

git clone https://github.com/flashrom/flashrom.git
cd flashrom
make -j$(nproc)
sudo make install

案例拆解：在一次构建中，用户报告在运行 ./build boot roms 时出现 flex: command not found 错误。排查过程如下：首先检查 which flex 发现未安装；随后通过 sudo apt install flex 解决。但紧接着又出现 bison: command not found。这提示我们，Libreboot 的构建脚本对 flex 和 bison 有硬性依赖，它们是生成设备树解析器所必需的。建议在安装依赖后，运行一次 ./build dependencies 脚本（如果存在），它会自动检查并提示缺失的包。

风险提示：切勿使用 root 用户执行构建操作。Libreboot 的构建脚本在检测到 root 权限时会拒绝运行，这是为了防止意外覆盖系统关键分区。请始终使用普通用户进行编译，仅在刷写固件时才切换到 root 或使用 sudo。

4.3 配置网络与权限：确保构建过程顺畅

核心原理：构建 Libreboot 需要从多个 Git 仓库拉取源码（coreboot、depthcharge、u-boot 等），网络连接的稳定性和速度直接影响构建效率。同时，刷写固件时需要对 /dev/mem、/dev/i2c-* 等设备节点具有访问权限。合理的网络配置和权限管理，既能提升效率，又能避免安全风险。

网络配置要点：对于国内用户，建议配置 Git 代理或使用镜像源。例如，设置全局 Git 代理：

git config --global http.proxy http://127.0.0.1:7890
git config --global https.proxy http://127.0.0.1:7890

同时，将 Debian 的 apt 源替换为国内镜像（如清华源、阿里源），可显著加速依赖包的下载。对于 Parabola，编辑 /etc/pacman.d/mirrorlist，将中国的镜像源（如 https://mirrors.tuna.tsinghua.edu.cn/parabola/）置顶。

权限配置流程：Libreboot 的刷写操作通常需要 root 权限，但日常构建不需要。为了安全，建议将用户加入必要的组：

# 允许用户访问 I2C 设备（用于某些板载调试）
sudo usermod -aG i2c $USER
# 允许用户访问 GPIO（用于树莓派等外部编程器）
sudo usermod -aG gpio $USER
# 重新登录使组权限生效
newgrp i2c

对于使用外部 SPI 编程器（如 CH341A）的场景，需要添加 udev 规则，使普通用户也能访问 USB 设备。创建 /etc/udev/rules.d/99-ch341a.rules，内容如下：

SUBSYSTEM=="usb", ATTR{idVendor}=="1a86", ATTR{idProduct}=="5512", MODE="0666"

实战场景：假设你使用树莓派作为外部编程器，通过 SPI 接口连接主板的 BIOS 芯片。树莓派的 SPI 设备节点为 /dev/spidev0.0，默认仅 root 可访问。通过上述 udev 规则或直接将用户加入 spi 组（如果存在），可以避免每次刷写都使用 sudo。但请注意，flashrom 在检测到非 root 用户时，会提示使用 --force 参数，这是正常现象。

  关键经验：在配置网络时，务必确保 DNS 解析正常。Libreboot 的构建脚本会执行 git submodule update --init --recursive，如果 DNS 配置错误，会导致子模块拉取失败，且错误信息可能不直观（如显示 "Connection refused"）。建议在构建前先执行 getent hosts github.com 验证 DNS 解析。

4.4 安全注意事项：保护硬件与数据

核心原理：固件刷写是一项高风险操作，一旦失败可能导致主板变砖（无法启动）。安全措施的核心目标是：可恢复性和可验证性。可恢复性意味着在任何刷写操作前，必须有完整的原始固件备份；可验证性则要求所有下载的源码和工具都经过校验，防止恶意代码注入。

安全操作清单：下表列出了刷写前必须完成的安全步骤，请逐项确认。

安全步骤	具体操作	验证方法
1. 原始固件备份	使用 flashrom 读取完整 8MB/16MB 固件	备份文件 SHA256 与第二次读取结果比对
2. 源码完整性校验	验证 Libreboot 发布包的 GPG 签名	`gpg --verify libreboot.tar.gz.sig`
3. 电源稳定性	使用不间断电源（UPS）或确保电池充满	刷写过程中观察电压波动
4. 防静电措施	佩戴防静电手环，工作台接地	触摸金属机箱释放静电
5. 测试机验证	优先在非主力机上测试新固件	确认启动正常后再刷主力机

案例拆解：一位用户在刷写 ThinkPad T400 时，未进行原始固件备份，直接执行 flashrom -w libreboot.rom。刷写过程中电源适配器意外断开，导致写入中断，主板无法启动。由于没有备份，用户只能通过硬件编程器（如 Raspberry Pi + SOIC8 夹子）从芯片中读取残留数据，但数据已损坏，最终花费大量时间才从网上找到同型号的原始固件恢复。这个案例深刻说明了备份的重要性。

复盘与总结：安全刷写的核心原则是“先备份，再操作；先验证，再信任”。在构建环境中，建议创建一个专门的目录（如 ~/libreboot-backup），存放所有原始固件、构建日志和校验和文件。同时，为每次刷写操作建立独立的日志文件，记录刷写时间、固件版本、硬件型号和操作命令，便于后续排障。

严重警告：不要在 BIOS 写保护未解除的情况下尝试刷写。大多数 ThinkPad 主板有写保护跳线或软件保护位（如 Intel 的 Flash Descriptor）。在刷写前，务必确认 flashrom 输出的状态信息中 WRSR 和 WP 位处于允许写入状态。如果提示 "Writing to flash chip is disabled"，请先检查硬件写保护跳线或使用 ich9gen 工具重新生成 descriptor。

通过本章的环境准备，你已经拥有了一个安全、高效且可复现的 Libreboot 开发环境。接下来，无论是从源码编译自定义固件，还是直接刷写预编译镜像，你都将拥有坚实的基础。记住，固件开发是一个不断试错和验证的过程，良好的环境准备和严谨的安全习惯，是你在探索自由固件世界中最可靠的伙伴。