tarballとsha1sumの比較

NPM レジストリによって提供されるチェックサムは、2 つの機能を提供します。つまり、ダウンロードしたファイルが破損していないことを確認でき、帯域外チェックサムを確認できる場合は、ダウンロードしたファイルが変更されていないことを確認できます。 NPMアーカイブが再現可能に構築されていない限り、チェックサムを使用すると、使用しているアーカイブに必要npm packな内容が含まれていることを確認できません。

Tarballの問題は、メタデータ（保存されているファイルの所有権、権限、およびタイムスタンプ）が含まれていることですtar。そして最も重要なことメタデータ圧縮。これらの値がすべて事前合意されている場合は、ファイルシステムから取得した値を上書きするように指定できますが、これは事前合意が必要です。

2つのランダムターボールの内容を比較する唯一の信頼できる方法は、その内容を抽出して比較することです。

このチェックサム比較が適切かどうかは、使用する tar コマンドと使用する tar アーカイブのタイプによって異なります。

starたとえば、1986年以降の3つのタイムスタンプをすべて含めると、tarアーカイブが異なる時間に最後にアクセスされたため、同じコンテンツでも異なります。

2001年に新しいPOSIX tar拡張機能を使用すると、tar実装が元の標準を実装するのか、それ以降の変更を実装するかに応じて、3つのタイムスタンプがすべて提供されます。

タイムスタンプに興味がなければ、アーカイブチェックサムを比較することは正しいアプローチではありません。

したがって、2つのtarアーカイブを比較し、それから説明を書くことはしばしば不可能です。

ただし、2つのアーカイブのいずれかを解凍できる場合は、コンフィギュレーション可能なメタデータセットを使用してコンテンツとメタデータを比較するための優れた方法があります。使用star -diff、参照http://schilytools.sourceforge.net/man/man1/star.1.html

たとえば、電話する場合：

star -diff -v diffopts=!times < archive.tar.gz

すべてのタイムスタンプを除くすべてのメタデータとファイルの内容を比較します。