Если derivation вычисляется и даёт выходной путь, это позволяет утверждать следующее. Выражение корректно и указывает свой выход. О том, что на самом деле соберёт сборщик, это говорит куда меньше. Функциональное вычисление Nix позволяет рассуждать о выражении, но у внешних команд, которые запускает сборщик, есть свои входные данные.
Меня смущает совсем небольшой случай. Среда сборки разрешает сборщику читать необъявленный файл хоста, и сборщик копирует /opt/local/banner в свой выход. Между двумя сборками объявленные входы не меняются, а этот файл меняется. Содержимое выхода может разойтись, и по выражению не видно почему. Контрпример держится только на том, что такое чтение разрешено.
Поэтому для утверждения о воспроизводимости нужны определение сборщика, объявленные зависимости и хоть какие-то сведения о том, какие внешние входы сборщик реально может наблюдать. Если меняющееся состояние хоста допущено намеренно, в утверждении стоит указать, что остаётся зафиксированным.
SLSA provenance может записать определение сборки, детали выполнения и известные разрешённые зависимости. Проверять утверждение так проще. Но учтены ли все входы, влияющие на выход, пока остаётся открытым, и что закрыло бы этот пробел для данной derivation, я честно не знаю.
