Hermetic Build：让构建不再偷偷依赖你的电脑

Hermetic Build：让构建不再偷偷依赖你的电脑

“在我电脑上能运行”是软件开发中最常见、也最让人头疼的一句话。问题往往不是代码本身，而是电脑上安装了不同版本的编译器、系统库、命令行工具、环境变量或缓存。Hermetic Build，也就是封闭式构建，试图让构建过程只依赖被明确声明的输入。

封闭到底封闭了什么

一个更接近封闭的构建系统，会固定源代码、工具版本、依赖和配置，并尽量隔离主机环境。相同输入和配置应该产生相同或可解释的输出，而不是因为某台电脑恰好装过某个工具就成功。

这并不意味着所有项目都必须立刻迁移到大型构建系统。更基本的做法包括：在干净容器中构建，锁定运行时版本，明确声明依赖，不从用户家目录读取隐形配置，并让 CI 在全新的机器上重建项目。

AI 编程为什么特别需要它

AI Agent 可能在本机、云端沙箱和 CI 里轮流工作。如果每个环境看到的工具和依赖不同，Agent 会把环境问题误判成代码问题，然后反复修改源文件。一个干净、可描述的构建环境，能让错误反馈更接近真实原因。

封闭构建还可以减少缓存误导。Agent 可能看到某个本地缓存导致测试通过，但换到干净环境就失败。把构建输入和缓存边界分清楚，才能判断“代码真的正确”还是“环境刚好帮了忙”。

Hermetic 不等于安全绝对

封闭构建降低了隐形依赖，却不能自动证明依赖没有漏洞，也不能防止构建脚本主动执行危险行为。它解决的是可控和可复现问题，仍需配合权限、依赖审查和产物验证。

一个适合个人项目的起点

让 AI 为项目写一个明确的构建说明：需要什么版本、从哪里安装依赖、如何在空目录执行、怎样运行测试。然后在干净环境里真正执行一次。只要能把“我的电脑状态”逐步变成“项目声明”，就已经开始接近封闭式构建。

关于 Hermeticity 的定义、收益与常见泄漏来源，可阅读 Bazel 官方说明。