O Que É Reprodutibilidade de Build (Build Reproducibility)?
A reprodutibilidade de build é a garantia de que o mesmo código-fonte, toolchain e entradas sempre produzem uma saída idêntica byte a byte. Alcançá-la significa eliminar o não determinismo, como timestamps embutidos, ordenação de arquivos e caminhos absolutos. Um build reproduzível permite que partes independentes confirmem que um artifact realmente veio do código-fonte alegado.
Por que isso importa
A reprodutibilidade é a base da confiança na cadeia de suprimentos: se dois builds do mesmo commit diferem, você não consegue provar que um binário não foi adulterado. Ela também torna o cache confiável, já que entradas idênticas mapeiam para saídas idênticas. Culpados comuns são os timestamps do relógio do sistema, e é por isso que existem timestamps determinísticos e o SOURCE_DATE_EPOCH.