buildMetaData task doesn't generate reproducible binaries

Offen

#1,885 erstellt am 27.11.2025 0 Kommentare 2 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 45/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Veraltet
Tech-Stack: android
Bereich: build-system, mobile-dev

Rechercherichtung

Beginne damit, die buildMetaData-Aufgabe in der Android-Laufzeitumgebung zu finden, und reproduziere die APK-Erzeugung lokal sowie in einer Docker-, Podman- oder GitHub-Actions-Umgebung. Vergleiche die Ausgaben mit diffoscope; abgeschlossen ist die Aufgabe, wenn die Metadaten-Binärdateien für dasselbe compileSdk unabhängig von der Umgebung Byte für Byte identisch sind.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Environment
Provide version numbers for the following components (information can be retrieved by running tns info in your project folder or by inspecting the package.json of the project):

CLI: 9.0.1
Cross-platform modules:
Android Runtime: 8.9.2 and 9.0.0
iOS Runtime (if applicable): -
Plugin(s): -

Describe the bug
buildMetaData task generates metadata binaries that are not deterministic and reproducible, Even with the same --compileSdk version set and exact Java, SDK, etc.. So, security checks will fail specially in opensource app stores like IzzyOnDroid and F-Droid.
The issue might be related to using methods like listFiles() without performing a sort on files or maybe different locale properties, I'm just guessing from my researches.
I've attached a diffoscope result to see the difference.

diff-with-upstream.html

To Reproduce

Generate an APK locally
Generate the same APK using a docker/podman container or Github actions
diff the results using any tool like diffoscope

Expected behavior
The metadata binaries should be exactly same for a specific compileSdk without considering which environment its running the buildMetaData task.

Vorherrschende Sprache: C++
Sterne: 563
Forks: 144
Ø Merge: 10 Std. 46 Min.
Gemergte PRs (30 T.): 14

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus NativeScript/android

Crash on startup when enabling R8 optimization Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 38/100

NativeScript/android#2039 · 1 Kommentar · Erstellt am 11.9.2026
Static binding names never match at runtime since 9.0.0 — every `extend()` falls back to runtime dex generation Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100

NativeScript/android#2024 · Erstellt am 24.8.2026
ESM loader: remaining cross-platform decisions and deferred follow-ups from #1965 Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 20/100

NativeScript/android#2020 · Erstellt am 20.8.2026
Proxy dex generation: thread-safety and latent naming bugs (follow-up to #2016) Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 42/100

NativeScript/android#2019 · Erstellt am 20.8.2026
Reading `SomeClass.null` permanently breaks that class's static `valueOf()` Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 55/100

NativeScript/android#1986 · Erstellt am 26.7.2026

Alle Issues in NativeScript/android