harden aur_pre_build (#2228)

[Misaka13514]

Fix #2228

用脚本批量了添加现有 AUR Maintainer 和 CoMaintainers

• 若 Last Packager 与 Maintainer + CoMaintainers 不同，lilac 会拒绝，所以此时也添加到maintainers中

grep -rl "aur_pre_build" archlinuxcn alarmcn | while read -r file; do
  if grep "aur_pre_build" "$file" |\
     grep -v "maintainers=" |\
     grep -v "^#" |\
     grep -vq "from lilaclib import aur_pre_build"
  then
    echo "$file"
  fi
done

[lilacbot]

Some maintainers (perhaps outside contributors) cannot be assigned: @yan12125, @Universebenzene, @xiaohuirong, @ykelvis, @tttturtle-russ

[Misaka13514]

重新获取了所有 maintainers，仅有一处 maintainers 改变

diff --git a/archlinuxcn/python311/lilac.py b/archlinuxcn/python311/lilac.py
index 3ab137e1a04..7c4d5ccc308 100644
--- a/archlinuxcn/python311/lilac.py
+++ b/archlinuxcn/python311/lilac.py
@@ -5,7 +5,7 @@ from lilaclib import edit_file
 
 
 def pre_build():
-    aur_pre_build(maintainers=['soh'])
+    aur_pre_build(maintainers=['Heptazhou'])
     for line in edit_file("PKGBUILD"):
         if line.startswith("provides="):
             continue

[lilydjwg]

那可以准备合并了吗？

[Misaka13514]

还有4个AUR包没有maintainer，我应该在PR中取消aur_pre_build还是等维护者稍后在AUR adopt后自行修改？

[lilydjwg]

可以写最后打包者。

[Misaka13514]

由于最近 AUR 恶意投毒事件再次发生，我重新 rebase 了我的 commit 并重新检查了我的修改。

更新如下：

• 新增 harden way-secure

当前的PR更改如下：

• 对 aur_pre_build 中没有设置 maintainer 的 lilac 配置用脚本通过 AUR RPC 批量了添加现有 AUR Maintainer 和 CoMaintainers
• 使用 requests 抓取 AUR 网页，确认 Last Packager 在 Maintainer 和 CoMaintainers 中，如果不在，就也将 Last Packager 添加到 lilac 配置中，有以下包添加了 Last Packager
  • abcde
  • cd-discid
• 对于没有没有 Maintainer 的包，使用 Last Packager 作为 Maintainer，有以下包仅使用了 Last Packager
  • cataclysm-dda-ncurses
  • hpoj
  • httpry
  • python-pdm-pep517

---

https://t.me/archlinuxcn_group/3505867
这个方案不太好啊，真的能合并吗？只是获取当前 aur 维护者勉强亡羊补牢，应该还要检测最近是否更换过维护者？

从 5 月以来没有换过维护者。

那可以准备合并了吗？

@lilydjwg 如果不需要维护者检查的话，可以准备合并。如果需要检查，我可以创建对每个维护者应该检查的包的列表。

[hour-keeper]

这么干感觉evil过头了，假如有长期的恶意包无人检查就直接呆仓库里了，或许改成无人修改并认领的包直接弃置好些

[Misaka13514]

建议maintainer review各自的包，我晚些时候会整理一个列表。

直接弃置可能过于谨慎，但也是一种好方法。

[hour-keeper]

建议maintainer review各自的包，我晚些时候会整理一个列表。

同意，可以先弄个列表，请管理员公示一段时间，然后再弃置

直接弃置可能过于谨慎，但也是一种好方法。

我不认为，linux以缺乏杀毒软件著称，一旦被恶意软件感染，即使是当事人也很难察觉

[Misaka13514]

我不认为，linux以缺乏杀毒软件著称，一旦被恶意软件感染，即使是当事人也很难察觉

我将会使用VirusTotal扫描仓库中的这些包，并整理结果

[Misaka13514]

我将会使用VirusTotal扫描仓库中的这些包，并整理结果

VirusTotal都是零报毒，仅供参考

[Misaka13514]

如果现在不急着review的话，可以等 #4378 完成后我再整理一次

[renyuneyun]

因为上游的变化，我准备将trilium-bin换成triliumnext-bin。
所以好奇问一下，这个PR的修改作用是会在每次构建的时候检查AUR的Maintainer是否有匹配么？

[Misaka13514]

所以好奇问一下，这个PR的修改作用是会在每次构建的时候检查AUR的Maintainer是否有匹配么？

对的，如果最后打包者不在列表中就会拒绝打包

[Misaka13514]

因为上游的变化，我准备将trilium-bin换成triliumnext-bin。

你可以不用管这个PR自己修改，建议添加指定AUR维护者。我的PR在需要的时候可以rebase

[hour-keeper]

因为上游的变化，我准备将trilium-bin换成triliumnext-bin。

你可以不用管这个PR自己修改，建议添加指定AUR维护者。我的PR在需要的时候可以rebase

已经不是建议了，向管理员依云咨询后得到的结果是未来的某个时候，archlinuxcn/repo的lilac会拒绝执行不指定aur维护者的aur_pre_build

[Misaka13514]

已经不是建议了，向管理员依云咨询后得到的结果是未来的某个时候，archlinuxcn/repo的lilac会拒绝执行不指定aur维护者的aur_pre_build

现在不加的话晚点也会在我PR里出现，晚点就会需要review

[hour-keeper]

我将会使用VirusTotal扫描仓库中的这些包，并整理结果

VirusTotal都是零报毒，仅供参考

一般非中国杀软报毒在五个以下，且最近该软件没有频繁的VirusTotal提交记录，就可以视为无毒

[hz-xiaxz]

请问这个 PR 是否计划近期合并，或者是否建议将已经受到强制检查影响的包拆分成独立 PR 修复？

aur_pre_build 的 maintainer 检查已于 2026-06-12 在 archlinuxcn/lilac@1bd24bc 中强制启用，对应的 lilac-git r1361.1bd24bc-1 也已于 2026-06-13 更新。

但本 PR 尚未合并，因此 zotero-bin 当前仍使用：

pre_build: aur_pre_build

它在 2026-07-08 检测到 9.0.4-1 -> 9.0.6-1 后，构建立即失败：

Exception: Please fill in trusted AUR maintainers

zotero-bin 9.0.4-1 最后一次成功构建是在强制规则上线前的 2026-05-23。现在 Arch Linux CN 仓库仍停留在 9.0.4-1。

如果这个批量 PR 暂时无法合并，我可以单独提交一个仅修改 zotero-bin/lilac.yaml 的最小 PR：

pre_build_script: aur_pre_build(maintainers=['juanmah'])

这样是否更合适？

[lilydjwg]

啊 @petronny 你还在吗？你的包坏掉啦……

@hz-xiaxz 不用，因为原则上来说非致命问题是需要包维护者来合并的，所以如果维护者不出现你提了也没用。另外近期大扫除（#4819) 正在进行中，如果维护者不能及时出现的话包会被删除的。

[petronny]

啊？明天修

[hz-xiaxz]

啊？明天修

谢谢！

[oldherl]

zotero-bin 有什么 zotero 不能提供的功能吗？

[hz-xiaxz]

zotero-bin 有什么 zotero 不能提供的功能吗？

我理解是不需要在本机编译吧

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.

[Misaka13514]

no maintainer:

• python-pdm-pep517

---

@BruceZhang1993

• netease-cloud-music-gtk4

---

@KenOokamiHoro

• java-service-wrapper
• obfs4proxy

---

@Kimiblock

• cgtproxy
• continuwuity
• continuwuity-git
• dracut-ukify
• way-secure

---

@MarvelousBlack

• abcde
• cd-discid

---

@Sasasu

• python-pygresql

---

@hubutui

• icu76
• python-pywavelets

---

@lilydjwg

• beancount

---

@petronny

• cataclysm-dda-ncurses (Manual Fix Required)
• hpoj
• js-beautify
• kmozillahelper
• libnatspec
• minecraft-launcher
• minecraft-server
• p7zip-natspec
• qt-installer-framework
• spigot
• sssm
• unzip-natspec
• vim-fcitx
• xscreensaver-arch-logo
• zotero-bin

---

@renyuneyun

• pacman-pstatus

---

@ykelvis

• go-for-it-git

[oldherl]

zotero-bin 有什么 zotero 不能提供的功能吗？

我理解是不需要在本机编译吧

[archlinuxcn] 的包本来就不需要用户再编译，是在编译机上打好的

[petronny]

之前是这样，有一段时间 zotero 编译过不去了，加上了 -bin 顶着，后面就是两者并存了。

[Kimiblock]

I intend to drop `way-secure` as my plans for Portable to integrate security context support directly had begun. `dracut-ukify` will be dropped too since I wrote kernel-install hooks myself and this package is of no use to me. Wondering if anyone wants to take these package.

[petronny]

目前我看到的卡点：

1. cataclysm-dda-ncurses AUR 之前 orphan，我现在修好了
2. zotero-bin 我猜这个 PR 合并了就好了？
3. 应该需要
   bypy-git 添加 pre_build_script: aur_pre_build(maintainers=['petronny'])
   vim-fcitx 添加 pre_build_script: aur_pre_build(maintainers=['SilverRainZ'])
   cataclysm-dda-ncurses 添加 pre_build_script: aur_pre_build(maintainers=['AutoUpdateBot'])
   我没这个 PR 分支的 push 权限，这个合并了我再 push？

[lilydjwg]

你可以直接push到master——这个分支已经冲突了。

[petronny]

bba26f4

[hubutui]

#4819
icu76 will be deleted.