<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Nov 23, 2016 at 10:22 AM, Florian Weimer <span dir="ltr"><<a href="mailto:fw@deneb.enyo.de" target="_blank">fw@deneb.enyo.de</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Sylvestre Ledru:<br>
<span class="m_-4422937504737643961gmail-"><br>
>> The main solutions as I recall them were:<br>
>><br>
>> 1) Vendor evering with Firefox, rustc, Cargo, crates, llvm and clang. Really<br>
>>   straightforward but distasteful to distros generally.<br>
>> 2) Upgrade Rust while continuing to use the same LLVM. This solution<br>
>> is hard to<br>
>>   count on because the work to keep Rust compatible with the older LLVM may be<br>
>>   great. It's also unlikely that rust-bindgen will be compatible with whatever<br>
>>   clang happens to be available.<br>
>> 3) Create new rust, LLVM, and clang packages mid-release, just for<br>
>> the purposes<br>
>>   of supporting the Firefox ESR upgrade.<br>
>> 4) Switch _off_ Firefox ESR's and establish an upgrade schedule, that matches<br>
>>   Firefox's / Rust's, as policy exceptions. Similar to how chromium<br>
>> as managed,<br>
>>   but the scale of software Firefox is upgrading is even larger (two<br>
>> compilers).<br>
>><br>
>> So I'm not coming with any new solutions. Just want to check<br>
>> in. Sylvestre, Gus,<br>
>> Mike, anybody else, is there any new information? Is the way forward<br>
>> any clearer<br>
>> now? How can we make it clear?<br>
<br>
> This is an excellent summary. As packager of Rust and LLVM/clang,<br>
> the option 3) sounds reasonable if we can get an approval of the<br>
> Debian release management and security teams.<br>
<br>
</span>I'm worried that this sets a precedent for forcing MFTLs into stable<br>
releases, and ongoing updates of them.  Another concern is that cargo<br>
isn't even going to make it into stretch, so why it would qualify for<br>
jessie is beyond me.<br></blockquote><br><div>Not being deep into Debian, I'm confused about which releases are which, and the statement that cargo isn't going to make it into stretch. I've been assuming we were talking about the next stable Debian release, which looks to me to be stretch, and that jessie is the current stable release. Are we also talking about how to update Firefox in the current release, jessie, which has no Rust whatsoever, mid-cycle? When does support for jessie end?<br><br></div><div>Why isn't cargo going to make it into stretch, and how can you tell that? I see a status page [0] that seems to indicate cargo is in 'unstable' but not 'testing'. I guess since it's not in testing it's not going to be in the next stable release (stretch). That seems like a complete showstopper for Rust - Rust is not practically usable without Cargo. Do we have any options for getting cargo into stretch?<br><br>[0]: <a href="https://tracker.debian.org/pkg/cargo" target="_blank">https://tracker.debian.org/<wbr>pkg/cargo</a><br><br></div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
Option 1 is really distasteful because we have to bootstrap Rust with<br>
pre-built binaries bundled with the sources.  Ocaml does the same<br>
thing, so it should be fine policy-wise, but it's still not what we<br>
generally strive for.  That's also a problem for option 4 (but I don't<br>
quite understand that one, it seems to be orthotogonal to the rest).<br>
<br>
Option 2 is just a choice of how to build Rust.  The only feasible way<br>
seems to be to use the bundled LLVM from upstream, considering that<br>
other things in the distribution might prevent us from upgrading LLVM<br>
as required by future Rust versions.<br>
<br>
Thinking out of the box, could Mozilla provide an apt-gettable archive<br>
for jessie and stretch which contains the official builds?  Then we<br>
could stop shipping Firefox.  This is what we ordinarily would do when<br>
faced with such challenges.<br></blockquote><div><br></div><div>I do think that Mozilla providing its own deb archives is a very sensible solution that can give us coverage of many Debian-derivatives. I'd strongly advocate we do that even if we do expect to arrive at a solution with Debian. It would give us peace of mind to know we had a working fallback plan.<br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
To be clear, I don't have anything against Rust at all.  I'm playing<br>
with it right now, and it definitely shows great promise.  But the way<br>
Firefox's upstream choices force hour hands seems highly irregular.<br>
</blockquote></div><br></div></div>