Как Подписать Артефакты?

Иногда бывает такая ситуация, что надо чтобы прошивка или любой другой артефакт сам сказал в каком состоянии был GIT репозиторий с кодовой базой, когда эту прошивку собирали. Надо как-то добавить в Flash память такие метаданные как "из какой ветки собрали прошивку", "какой была контрольная сумма последнего коммита".

Эта инфа окажется очень полезна, если в prod(акшене) найдут ошибку в коде и надо будет понять, когда прошивка была собрана и из чего.

Можно конечно вручную прописывать эти контрольные суммы в FlashFs, но это очень плохая идея.

Лучше написать *.bat скрипт sign_code.bat, который будет перед компиляцией подписывать прошивку. И добавить скрипт sign_code в скрипт основной сборки артефактов до вызова препроцессора. Вот так как показано на строчке 14.

cls
@echo off
set project_dir=%~dp0
echo project_dir=%project_dir%
cd %project_dir%
set workspace_dir=%project_dir%\..\..\..\
echo workspace_dir=%workspace_dir%

If exist "*.exe" (
    Echo *.exe exist
    del *.exe
)

call %workspace_dir%\tool\sign_code.bat %project_dir%

cd %project_dir%
make all

В папке с проектом надо создать файл auto_version.h. Это шаблон для метаданных про версию репозитория.

#ifndef AUTO_VERSION_H
#define AUTO_VERSION_H

#define GIT_BRANCH  "GIT_BRANCH_AUTO_REPLACE"
#define GIT_LAST_COMMIT_HASH  "GIT_LAST_COMMIT_HASH_AUTO_REPLACE"

#endif /*AUTO_VERSION_H*/

Надо чтобы скрипт sign_code на место строк GIT_BRANCH_AUTO_REPLACE и GIT_LAST_COMMIT_HASH_AUTO_REPLACE вставлял реальные значения, которые скажет утилита git (git branch, git rev-parse --short HEAD ).

После отработки скрипта sign_code получится валидный файл.

#ifndef AUTO_VERSION_H
#define AUTO_VERSION_H

#define GIT_BRANCH  "main"
#define GIT_LAST_COMMIT_HASH  "e53349f7"

#endif /*AUTO_VERSION_H*/

Вот полный код скрипта sign_code.bat

echo off
echo %0
set project_dir=%1
set workspace_dir=%project_dir%\..\..\..\
echo sing_firmware
echo ....

echo workspace_dir=%workspace_dir%
echo project_dir=%project_dir%

COPY /Y  %workspace_dir%auto_version_pattern.h %project_dir%\auto_version.h
set tool_path=%workspace_dir%tool\
echo tool_path=%tool_path% 
FOR /F "tokens=* delims=" %%a IN ('git branch') DO (
 set branch_var=%%a
)

FOR /F "tokens=*delims=" %%a IN ('git rev-parse --short HEAD') DO (
 set last_hash_var=%%a
)

rem echo branch_var=%branch_var% 
set branch_var=%branch_var:~2%
echo branch_var=%branch_var%
echo last_hash_var=%last_hash_var%

python %tool_path%replace_word_in_file.py %project_dir%\auto_version.h GIT_BRANCH_AUTO_REPLACE %branch_var%
python %tool_path%replace_word_in_file.py %project_dir%\auto_version.h GIT_LAST_COMMIT_HASH_AUTO_REPLACE %last_hash_var%

Скрипт sign_code сначала вычисляет абсолютные адреса к утилитам, затирает предыдущие настройки версии репозитория в файле auto_version.h, берет нынешние настройки репозитория из консольных git команд и прописывает эти текущие настройки репозитория в файл auto_version.h

Как видно внутри sign_code.bat фигурирует Python(ский) скрипт replace_word_in_file.py. Дело в том, что авто замена в файле реализуется на Python проще чем на Batch. У скрипта replace_word_in_file три аргумента: файл, нежелательный token, желательный token

#!/usr/bin/python

import sys

print ('Number of arguments:', len(sys.argv), 'arguments.')
print ('Argument List:', str(sys.argv))
arguments = len(sys.argv) - 1
position = 1
while (arguments >= position):
    print ("Parameter %i: %s" % (position, sys.argv[position]))
    position = position + 1

with open(sys.argv[1], 'r') as file :
    filedata = file.read()

# Replace the target string
filedata = filedata.replace(sys.argv[2], sys.argv[3])

# Write the file out again
with open(sys.argv[1], 'w') as file:
    file.write(filedata)    

Когда прошивка подписалась, собралась и загрузилась, то в логе загрузки можно увидеть метаданные про репозиторий: branch, lastCommit. Успех!

Можно было бы и на С(ях) написать одну монолитную утилиту sign_code.exe, которая бы авто заменяла ключевые слова в соответствии с состоянием репозитория однако, тогда пришлось бы еще писать такую утилиту для каждой операционной системы, плюс писать makefile, набор исходников и поддерживать эту утилиту на плаву, или подвергать версионному контроль артефакт *.exe который может еще и не запуститься на другом PC. Потом появились бы временные файлы сборки (*.o) , которые бы засоряли жесткий диск.

Скрипты удобнее для простых задач.

Вывод

Подписывание прошивок это простой и эффективный DevOps приём. Подпись потом поможет Вам в случае выявленного осечки откатиться назад, собрать прошивку с той кодовой базой, что была и понять причину в условиях максимально приближенных к реальности.

Подписывайте свои прошивки. В этом нет ничего сложного.

Если вы знаете как решить задачу инкапсуляции состояния репозитория в артефакт лаконичнее и не в ущерб понимания кода, то пишите в комментариях.