- This topic has 6 odpowiedzi, 5 uczestników, and was last updated 6 years, 3 months temu by
.
- Posty
Zainstalowałem Manjaro Plasmę KDE. Czas na programy. Chcę zainstalować Spotify.
yaourt -S spotify ==> Pobieranie PKGBUILD spotify z AUR... x .SRCINFO x .gitignore x LICENSE x PKGBUILD x spotify x spotify.protocol fsutil commented on 2018-06-01 19:30 alexx commented on 2018-06-05 05:22 fsutil commented on 2018-06-05 11:34 carmilso commented on 2018-06-18 19:33 Tarnas commented on 2018-06-22 10:43 spotify 1.0.80.480-1 (2018-06-01 06:02) (Niewspierany pakiet: potencjalnie niebezpieczny!) ==> Edytować PKGBUILD? [T/n] ("P", aby przerwać) ==> -------------------------------------------- ==> P ==> Przerwano...Skoro niebezpieczny to przerwałem instalcję.
Znalazłem instrukcje:
https://wiki.manjaro.org/index.php?title=SpotifyCzy bezpiecznie jest używać tego yaourt?
Snapy zajmują dużo miejsca. Wine, hmm, nie podoba mi się ten pomysł. Czy Flatpak zajmuje mniej miejsca i czy funkcjonuje bez błędów? Jeszcze nie miałem okazji używać Flatpaków.
Skoro niebezpieczny to przerwałem instalcję.
…
Czy bezpiecznie jest używać tego yaourt?Przy instalacji za pomocą yaourt zawsze zobaczysz taką informację, która generalnie ma Cię zmusić do refleksji i odpowiedzi na pytanie, czy jesteś pewien bezpieczeństwa danego pakietu.
Jeśli chodzi o pakiety z AUR, to na stronie AUR danego pakietu, np. spotify, możesz zobaczyć kilka istotnych informacji na temat danego pakietu, komentarze itp.
W przypadkuspotifyponiższe informacje (przynajmniej mi) mówią, że pakiet jest b. popularny, b. dobrze oceniany i aktualny. Na tej podstawie śmiało bym go instalował.Maintainer: AWhetter Last Packager: AWhetter Votes: 1522 Popularity: 51.037677 First Submitted: 2010-07-12 12:17 Last Updated: 2018-06-01 06:02Manjaro [stable] LTS, Xfce - tego używam
… odrobina systematyki:
# komunikat o niebezpieczeństwie (potencjalnym, tylko potencjalnym) pojawia się, ponieważ próbujesz zainstalować pakiet spoza repozytoriów systemowych, które są poza kontrolą Twórców systemu;
# AUR, to repozytorium tworzone przez użytkowników Arch Linux’a. Nadaje się dla użytkowników Arch Linux’a i dystrybucji pochodnych (kontrowersyjna opinia!) – pod warunkiem, że wiesz co robisz;
# jeżeli chcesz korzystać z AUR, to najpierw poczytaj na wiki Manjaro i Arch’a;
# yaourt, to jeden z kilku programów, które ułatwiają Ci korzystanie z AUR i pacman’a (manager pakietów w dystrybucjach arch-pochodnych). Część użytkowników uważa, że korzystanie z takich rozwiązań jest z gruntu złe. Pomijając skrajne opinie, możesz korzystać, ale najpierw poczytaj, aby nie mieć niewłaściwych oczekiwań i być świadomym ograniczeń.
# generalnie rzecz biorąc, snap’y są większe niż flatpak’i. Nie mam opinii na temat stabilności działania, bezpieczeństwa, etc – przymierzam się dopiero. Nie spotkałem się jednak z alarmistycznymi opiniami – wygląda na to, że działają.
————-
EDIT-20180713-1950 … osobiście uważam, że lepiej flatpak niż snap; lepiej snap niż AUR; lepiej AUR niż nic.Nie zadawaj pytania, jeżeli nie jesteś gotów usłyszeć odpowiedzi
AUR jest repozytorium skryptów budujących paczki w Archu (najczęściej ze źródeł), a nie repozytorium paczek w formacie binarnym. Skrypty tam istniejące są tworzone przez użytkowników Archa (różnych, od jego deweloperów, poprzez tzw. Trusted User, a na zwykłych użytkownikach skończywszy). AUR nie otrzymuje też wsparcia Archa. Podobnie jak jego wiki jest to wyłącznie narzędzie udostępnione społeczności Archa, ale już nie pod jego „opieką”. Stąd też wiele tzw. AUR-helperów informuje o tym w sposób, z którym się spotkałeś: program niewspierany, instalacja potencjalnie niebezpieczna. Oznacza to wyłącznie tyle, że nikt z deweloperów czy TU Archa nie przeglądnął skryptu, nie wie co tam siedzi, a obowiązek tego ciąży na użytkowniku, który chce program z AUR zainstalować. Oznacza to również, że po zainstalowaniu paczki z AUR to użytkownik musi dbać o to, by działała w sposób prawidłowy (pacman nie obsługuje AUR).
Generalne zasady korzystania z AUR:
– należy przeczytać info na wiki Archa,
– instalując program z AUR musisz zawsze przeglądnąć to, co w skryptach jest – jeśli nie rozumiesz tego skryptu – spytaj społeczności,
– bezwzględnie czytaj komentarze pod skryptem.
Tylko wówczas możesz się ustrzec przed nieprzyjemnymi niespodziankami, jak choćby opisana ostatnio sprawa malware’u w AUR.Wracając do Twojego pytania o spotify. Ten program, ze względów licencyjnych nie trafił do repozytorium community (podobnie jak nie trafi tam np. Google Earth). Oficjalne wersje Spotify for Linux są jedynie dla Ubuntu i Debiana oraz rozpowszechniane jako snap. Skrypt. Jest to oprogramowanie o zamkniętym kodzie, a zatem źródeł brak.
Analizując PKGBUILD – jak możesz zauważyć:
– jako źródło (linie 27 i 29) wskazuje na to, że są nim oryginalne paczki przygotowane przez Spotify dla Ubuntu/Debiana,
– paczka dla Archa powstaje przez przebudowanie tej oryginalnej paczki deb (linie 39-63), a jedyną zmianą jest dodanie usługi dla KDE (spotify.protocol – linia 59).
Tym samym – spotify w AUR jest dokładnie tak samo bezpieczne jak oryginalna paczka pochodząca od Spotify. Jest to po prostu to samo oprogramowanie, a jedynie oferowane w innym niż oryginalny, formacie paczki (pkg.tar w miejsce deb).Jeśli chodzi o yaourt. Informacja, jaką otrzymałeś próbując instalować przez niego coś z AUR dotyczy paczki z AUR, a nie samego yaourt. Czy jest bezpieczny? Oceń sobie choćby po lekturze tej tabelki – jeśli nie potrafisz jej zinterpretować, to najkrócej mówiąc: to jeden z najgorszych aur-helperów jaki istnieje. Nie zainstalujesz nim też niektórych programów z AUR, inne zostaną zbudowane w wadliwej kolejności itp.
Mając Manjaro musisz pamiętać, że AUR jest stworzony dla Archa, a nie Manjaro. Stosowna dyskusja na ten temat przetoczyła się między mną a @azja na tym forum.
Odpowiadając na pytanie w tytule: instaluj spotify z AUR. Najlepiej tak, abyś się tego nauczył na przyszłość (po # komentarze):
git clone https://aur.archlinux.org/spotify # ściągasz skrypty z AUR cd spotify # przechodzisz do ściągniętego katalogu i czytasz PKGBUILD oraz znajdujące się tam pliki, ewentualnie modyfikujesz je makepkg -sirc # wydajesz polecenie, które: 1. ściągnie źródła oraz niezbędne do budowy i działania zależności, 2. rozpakuje, 3. zbuduje, 4. zainstaluje paczkę, 5. usunie katalogi budowania, 6. usunie niepotrzebne już zależności służące do budowaniaMożesz jeszcze sprawdzić paczkę (wówczas nie wydajesz w poleceniu makepkg przełączników „r” i „c” prawidłowość zbudowanej paczki za pomocą namcap. Jeśli coś trzeba poprawić – poprawiasz i przebudowujesz.
Po prostu zainstaluj Spotify z AUR wybranym AUR helperem lub przez pamaca/octopi. Działa dobrze i nie ma problemów.
Tak jak koledzy wspomnieli, AUR nie jest w żaden sposób bezpieczne, ale nie trzeba też go demonizować i popularne pakiety można spokojnie instalować. A te bardziej wątpliwe trzeba sprawdzić czytając PKGBUILD. Zwykle jednak przeciętni użytkownicy trzymają się znanych pakietów, więc jest ok. Do tej pory tylko raz się zdarzyło,że ktoś przejął jakiś mało ważny i nie zarządzany pakiet AUR i dorzucił do niego malware, jednak szybko to wykryto.
@michaldybczak – Mało znane i tylko raz?… :) Czy Acrobat Reader jest mało znany? Mało popularny? To jego dotyczył problem z zeszłego tygodnia (i 2-3 innych aplikacji też). PKGBUILD należy bezwzględnie przeglądać!
- Musisz być zalogowany aby odpowiedzieć w tym wątku.