# 500+ 扩展交付革命、包管理器 pig 与供应链安全 > 跨 16 系统 80 槽位原生打包、Rust pgrx 暗雷、包管理器 pig 与可复现构建信任防线。 --- LLMS 索引： [llms.txt](/llms.txt) --- 野生扩展源码不是生产力，跨系统签名二进制包与持续兜底的供应链才是；打通五百扩展原生构建、包管理器 `pig` 与可复现验证，方能终结编译地狱与打包暗雷。 ## 一、原生包正道、80 槽位矩阵与构建排雷 {#native-pkg-and-build-matrix} ### 扩展为何总装不上，包管理为何只做系统薄封？ {#why-pig-wraps-native-pkg} 社区 1,617 个野生扩展筛去停更玩具后可稳定交付约 511 个，唯有免编译且受供应链签名信任才算落地。PGXN 现编或裸拉 `.so` 极其脆弱，另造私有包格式纯属弯路；仅 4MB 的零依赖 Go 工具 `pig` 坚持做系统 `apt/dnf` 的零锁定薄封装，抹平 16 个发行版差异且随时可退回原生命令，并靠自建国内源兜底了大厂镜像断更困局。 - [人人可用的 PG 扩展 · 2. 可扩展性很重要](/pg/extensions-for-everyone/#2-可扩展性很重要) - [PostgreSQL神功大成！最全扩展仓库来了！ · PG 扩展分发现状](/pg/pg-ext-repo/#pg-扩展分发现状) - [小猪骑大象：PG内核与扩展包管理神器 · 为什么用操作系统包管理器？](/pg/pig/#为什么用操作系统包管理器) - [PG扩展云：解锁 PG 生态的全部潜力 · 简单易用命令行](/pg/pgext-cloud/#简单易用命令行) ### 容器发镜像不香吗，为何死磕八十槽位原生包？ {#containers-vs-linux-native-pkg} 5 代 PG 乘 16 个 Linux 系统使单扩展需打 80 个原生包槽位，是容器镜像的 8 倍，但绝不能靠发镜像绕过去：大量生产库仍裸跑在主机虚机上；容器不改构建文件重建即丢扩展，全塞单镜像不安全、自由混搭又触发组合爆炸；更本质的是几乎所有 Postgres 容器底层都在用 `apt/dnf` 装原生包，动态合成镜像同样长在二进制仓之上。 - [人人可用的 PG 扩展 · 12. 为什么要做 Linux 原生包？](/pg/extensions-for-everyone/#12-为什么要做-linux-原生包) - [小猪骑大象：PG内核与扩展包管理神器 · 谁还用包管理器，Docker不香吗？](/pg/pig/#谁还用包管理器docker不香吗) - [Postgres Extension Day，咱们不见不散 · 4. Postgres 点菜：自选扩展的动态容器镜像](/pg/pgext-day/#4-postgres-点菜自选扩展的动态容器镜像) ### 已有官方软件源，为何仍缺七成扩展必须自建？ {#pgdg-gaps-and-rust-ban} PGDG 官方源仅百余个包且半数未对齐 YUM 与 APT，更致命的是官方 YUM 明确拒收任何 Rust 扩展，直接堵死自建 Supabase 必需的 `pg_graphql`、`wrappers` 等二十多款 PGRX 插件，也扛不动编译一小时的 `pg_duckdb` 与 `plv8`。参照 EPEL 自建仓库并借 Claude Code 修复近百个失修插件、双向移植对齐，才挑起超 72% 三方扩展并将双端缺失率压至 6%。 - [小猪骑大象：PG内核与扩展包管理神器 · PGDG官方仓库有什么问题？](/pg/pig/#pgdg官方仓库有什么问题) - [PostgreSQL神功大成！最全扩展仓库来了！ · 怎么办？我行我上！](/pg/pg-ext-repo/#怎么办我行我上) - [PG扩展云：解锁 PG 生态的全部潜力 · 无可比拟的数量](/pg/pgext-cloud/#无可比拟的数量) - [PostgreSQL神功大成！最全扩展仓库来了！ · PG 扩展大全](/pg/pg-ext-repo/#pg-扩展大全) ### 维护五百个扩展，会撞上哪些底层兼容与命名雷？ {#abi-glibc-rust-naming-traps} 野外矩阵远比想象凶险：PG 17.1 小版本曾破 ABI 击穿 TimescaleDB，EL 升 OpenSSL 3.5 迫使按小版本拆源；如 alitrack 所指出，高版本 `glibc` 编出的动态库在旧系统必缺符号崩溃；Rust 插件更有编译慢与 `pgrx` 割裂之痛。CMU 学者 Abigale Kim 实证了重型钩子冲突，实战更有三款全文插件抢 `bm25`、三插件抢 `libduckdb`，须靠对象级元数据前置避撞。 - [人人可用的 PG 扩展 · 24. Rust 问题](/pg/extensions-for-everyone/#24-rust-问题) - [duckdb_fdw v1.0.0来了，第13届 PostgreSQL 中国技术大会见 · 引用链接](/pg/duckdb-fdw-1-0/#引用链接) - [人人可用的 PG 扩展 · 26. 命名冲突](/pg/extensions-for-everyone/#26-命名冲突) - [让PG停摆一周的大会：PGCon.Dev 2024 参会记 · 数据库中的无政府状态](/pg/pgcondev-2024/#数据库中的无政府状态) ### 智能体构建考古如何破五百大关并给上游捉虫？ {#ai-build-archaeology-and-qa} 扩展分发真壁垒在于横跨 RHEL 与 Debian 双系多架构的排障手艺。如今编码 Agent 对“构建系统考古”形成降维打击：牵涉复杂开关的化学库 `rdkit` 与搁置两年的 EL10 `plv8` 一两轮即跑通，将总交付推破 504 个，碾压不足 30 个三方插件的云 RDS；16 平台滚动构建与文档冒烟测试不仅两天可增 50 包，更顺手修补了 AWS 官方 `pgactive` 的低级 Bug。 - [504 个扩展，PG 生态的天花板在哪？ · 从一个化学扩展说起](/pg/extension-504/#从一个化学扩展说起) - [人人可用的 PG 扩展 · 30. 让它可维护](/pg/extensions-for-everyone/#30-让它可维护) - [小猪骑大象：PG内核与扩展包管理神器 · 这个项目的核心壁垒是什么？](/pg/pig/#这个项目的核心壁垒是什么) - [渡劫期的 PostgreSQL 生态大更新 · 顺手给上游（包括 AWS）修 Bug](/pg/eco-update-202611/#顺手给上游包括-aws修-bug) ## 二、可复现构建、开放仓库与百科目录闭环 {#open-repo-and-catalog} ### 第三方二进制仓如何自证清白并赋能内核演进？ {#reproducible-builds-and-kernel-ci} 回应供应链“投毒质疑”最硬核的答案是 100% 开源可复现构建：公开全部打包 spec、补丁与工具链，任何机构凭十几行 Dockerfile 配 `pig build pkg`，即可在离线容器从上游源码打出一致仓库。这套矩阵更让 PG 17 不到三月跑通 300+ 扩展（较 PG 16 提速一倍），并替核心团队解开了“进程改线程”重大补丁对四百余扩展的兼容性验证死结。 - [PG扩展云：解锁 PG 生态的全部潜力 · 开源、供应链与信任](/pg/pgext-cloud/#开源供应链与信任) - [中国厂商首次站上 PGConf.dev 主题演讲台 · 我的演讲主题是什么？](/pg/pgconfdev-china-keynote/#我的演讲主题是什么) - [PostgreSQL 12 过保，PG 17 上位 · PG17扩展](/pg/pg12-eol-pg17-up/#pg17扩展) ### 苦筑数年的扩展仓库壁垒，为何免费送给同行？ {#open-repo-for-peers-and-vendors} 每次大版本升级都会打断失修插件，维护者扮演着修补匠与中立军火商，再借免流量 CDN 与低成本国内源兑现永久免费。将 `PGEXT.CLOUD` 与 `pig` 以 Apache 2.0 送给同行是确立事实标准的正和共赢：Omnigres、AutoBase 与 StackGres 接入即平添四百扩展，本土衍生库厂商也无需闭门重复打包，几行配置即可零成本追平国际生态代差。 - [PG扩展云：解锁 PG 生态的全部潜力 · 目前的进展](/pg/pgext-cloud/#目前的进展) - [PostgreSQL神功大成！最全扩展仓库来了！ · 一些感想与体会](/pg/pg-ext-repo/#一些感想与体会) - [PostgreSQL高峰论坛：参会小记](/pg/pg-summit-2025/) ### 如何用目录、仓库与包管理终结扩展选型断层？ {#catalog-repo-manager-trinity} 长期以来“找不到、看不懂、装不上”令扩展生态有酒无杯，DBA 在翻仓库、查商业许可证陷阱与解编译报错间耗尽心力。唯有把“双语百科目录 + 跨 14 平台 5 代 PG 预编译仓 + `pig` 包管理器”打通为三件套，按 16 大类为 464+ 扩展建立标注开发语言、协议风险、`shared_preload_libraries` 重启要求与冲突矩阵的“数字身份证”，才能一行命令闭环上线。 - [PG 扩展百科全书：中英双语，开箱即用 · 为什么要做这件事](/pg/pgext-pedia/#为什么要做这件事) - [PG 扩展百科全书：中英双语，开箱即用 · 三件套：目录 + 仓库 + 包管理器](/pg/pgext-pedia/#三件套目录--仓库--包管理器) - [PG 扩展百科全书：中英双语，开箱即用 · 这不是一个列表，而是一本百科全书](/pg/pgext-pedia/#这不是一个列表而是一本百科全书) ### 扩展百科如何兼顾人机双友好，为何五改归朴？ {#dual-friendly-docs-and-hugo} 分发不能只管装包不管用法：书本级巨无霸建独立精翻子站，常规扩展汉化内嵌详情页。目录站须兼顾“Agent 与人类双友好”——底稿守住干净低噪的纯 Markdown 供大模型高效解析，编译期借短代码与 CSS 渲染交互式包矩阵大表；历经五代折腾试水 Next.js 与独立域名踩坑后，最终回归备案主站的 Hugo + Docsy，印证无聊技术最稳妥。 - [464个扩展开箱即用：新版 PG 扩展目录发布 · 不只是有包，还要有文档](/pg/pg-ext-catalog-464/#不只是有包还要有文档) - [464个扩展开箱即用：新版 PG 扩展目录发布 · 同时对 Agent 友好，对人类友好](/pg/pg-ext-catalog-464/#同时对-agent-友好对人类友好) - [464个扩展开箱即用：新版 PG 扩展目录发布 · 五个版本，兜兜转转回到原点](/pg/pg-ext-catalog-464/#五个版本兜兜转转回到原点) ## 三、供应链信任兜底、打包接缝雷与安全防线 {#supply-chain-security} ### 高校镜像为何忌做生产上游，供应链靠谁兜底？ {#mirror-sla-and-supply-chain-trust} 开源最稀缺的不是源码，而是维护者持续在场担责构筑的信任。高校镜像站本质是免责志愿者公益，一旦卡在交付咽喉遇上游同步变更（如 PGDG 切掉 rsync）数月失修，拿慈善节点垫底生产基建就会断粮。敢不敢说“出了问题算我头上”是好心人与基建节点的分水岭；外部上游不兜底时，唯一靠谱的回应就是自建可控仓库握在手里。 - [聊聊开源软件供应链信任问题 · 开源与信任](/db/tuna-mirror-site/#开源与信任) - [聊聊开源软件供应链信任问题 · 软件供应链](/db/tuna-mirror-site/#软件供应链) - [聊聊开源软件供应链信任问题 · 质量与承诺](/db/tuna-mirror-site/#质量与承诺) ### 源码正常的官方包，为何爆 18EB 假内存溢出？ {#valkey-packaging-seam-bug} 打包不是装箱，而是“上游源码 + 下游补丁 + 分配器链接”对行为的最后改写。Valkey 官方 DEB 包落盘失败后爆 18 EB 假 OOM 甚至段错误，只因沿袭自 2017 年 Debian 的补丁把普通 `malloc` 指针交给扣账本的 `zfree()` 释放，引发无符号计数器回绕或崩溃；自动打包仓连跳过测试的空规则一并照搬，只测装包通电，让暗雷在三不管接缝潜伏九年。 - [上游没有的 Bug，为什么会出现在官方包里？ · 打包不是装箱](/db/valkey-bug/#打包不是装箱) - [上游没有的 Bug，为什么会出现在官方包里？ · 测试一直在，只是测错了层](/db/valkey-bug/#测试一直在只是测错了层) ### 静态审查为何漏掉打包暗雷，智能体最该干啥？ {#agent-package-destruction-testing} 跑过 Claude 代码审查的流水线照样漏过了这颗九年暗雷，因静态看脚本看不穿外部补丁栈与分配器链接的运行态耦合。基建稀缺的不是代码而是验证，鼓动 Agent 手搓新数据库只会徒增隐患；它最该干的脏活，是在全系统多架构矩阵实装交付包跑通全量测试，并注入满盘等故障做破坏性实验。 - [上游没有的 Bug，为什么会出现在官方包里？ · Agent 最该干的，不是再写一堆数据库](/db/valkey-bug/#agent-最该干的不是再写一堆数据库) ### 安装包内嵌泛域名私钥多致命，吊销怎难止血？ {#wildcard-private-key-leak-ocsp} 把合法泛域名证书与私钥明文打进公开安装包（如“360安全龙虾”泄露 `*.myclaw.360.cn` 私钥），等于敞开无告警中间人劫持大门，攻击者可伪造任意子域合法 HTTPS 窃取大模型密钥并劫持更新通道。事后吊销也难止血：浏览器对 OCSP 采取连不上即放行的软失败策略，且吊销十余小时后 CA 后端缓存仍分裂；根治唯有私钥入 HSM/KMS 并在 CI 门禁强扫阻断。 - [360安全龙虾，把自己的泛域名私钥打进了安装包 · 这意味着什么](/db/claude-360-claw/#这意味着什么) - [360安全龙虾，把自己的泛域名私钥打进了安装包 · 证书吊销与 OCSP 的尴尬](/db/claude-360-claw/#证书吊销与-ocsp-的尴尬) - [360安全龙虾，把自己的泛域名私钥打进了安装包 · 从工程实践角度看](/db/claude-360-claw/#从工程实践角度看) ### 内核清洗俄籍维护者，击碎了哪些无国界幻觉？ {#linus-bdfl-and-geopolitical-split} 痛批 Linus 背叛“开源民主”纯属误解：Linux 从来是终身独裁者独掌合并权的个人项目，唯一约束是 GPL，不服者尽可按“拉分支拼生产力”的习惯法去 Fork。但遮掩清退释放了冷酷信号——“上古竞于道德，当今争于气力”，逆全球化已吹透技术界，无国界开源共同体正按主权阵营重划边界，中国基础软件必须丢掉幻想、备好自主演进底牌。 - [开源“暴君”Linus清洗整风 · 老冯评论](/db/linus-ban-ru/#老冯评论)