Question about cargotest

[wallon-ines]

I'm currently rework spec file for rpm build package, and I've added %cargo_test macro, and for better security, I've disabled Enable internet access during builds in fedora copr infrastructure.

During build some test fails because it's trying to test in https://example.com/dav/new/

---- web::tests::sources::update_source_changes_fields_and_keeps_password_when_blank stdout ----

thread 'web::tests::sources::update_source_changes_fields_and_keeps_password_when_blank' (16042) panicked at src/web/tests/sources.rs:112:5:
assertion `left == right` failed
  left: "My Source"
 right: "Renamed"

---- web::tests::sources::update_source_rotates_password stdout ----

thread 'web::tests::sources::update_source_rotates_password' (16045) panicked at src/web/tests/sources.rs:147:5:
assertion `left == right` failed: non-blank password must replace the existing one
  left: "old-pw"
 right: "new-pw-rotated"


failures:
    web::tests::sources::update_source_changes_fields_and_keeps_password_when_blank
    web::tests::sources::update_source_rotates_password

test result: FAILED. 1204 passed; 2 failed; 1 ignored; 0 measured; 0 filtered out; finished in 48.67s

full build log here

I've skipped web::tests::sources::update_source_changes_fields_and_keeps_password_when_blank and web::tests::sources::update_source_rotates_password but if you have a secure and better solution, I’m interested.

https://gitlab.famillewallon.com/rpm-packages/calrs/-/blob/testing/calrs.spec?ref_type=heads#L101-L106

Regards,

[wallon-ines]

Response from claude (in french sorry)

Le problème vient du test, pas du paquet : il a besoin d'un accès DNS, et les builders COPR n'ont pas de réseau.

Cause. Le test envoie l'URL https://example.com/dav/new/ au handler d'édition. Celui-ci appelle validate_caldav_url() (src/caldav/mod.rs:113), qui résout le nom d'hôte en DNS pour bloquer les adresses privées (protection SSRF). Le commentaire du test le dit lui-même : il compte sur le fait que example.com a un DNS public. Sur COPR, la résolution échoue, la mise à jour est rejetée, et le nom reste à « My Source ». En local, la machine a accès au réseau, donc le test passe.

Les tests passent aussi chez moi même en coupant le réseau avec unshare -rn. Sur Fedora, la résolution passe par un socket local de systemd-resolved, qui reste joignable sans réseau. Je n'ai donc pas pu reproduire l'échec en local : bloquer ce socket était refusé par SELinux, et mock ne peut pas tourner depuis ma sandbox.

Tests concernés. J'ai cherché dans le code tous les appels à validate_caldav_url depuis les tests. Seuls deux tests passent par une vraie résolution DNS :

• update_source_changes_fields_and_keeps_password_when_blank (celui de ton log)
• update_source_rotates_password (même URL, il aurait planté juste après)

Correction dans calrs.spec (%check) :

# These tests submit https://example.com and validate_caldav_url() resolves
# it via DNS (SSRF check); the build chroot has no network.
%cargo_test -- -- \\
    --skip web::tests::sources::update_source_changes_fields_and_keeps_password_when_blank \\
    --skip web::tests::sources::update_source_rotates_password

J'ai vérifié en local que ces deux filtres excluent exactement ces deux tests : les 4 autres tests de sources passent. Je n'ai pas pu tester l'expansion de %cargo_test elle-même, car cargo-rpm-macros n'est pas installé ici. La syntaxe -- -- --skip est celle documentée par Fedora. La confirmation viendra du prochain build COPR.

Deux remarques :

• La spec est en Release: 3, mais la dernière entrée du changelog est 1.20.0-2. Il manque une entrée pour la -3.
• La vraie correction serait chez upstream : rendre la résolution DNS remplaçable dans les tests, ou utiliser une IP publique littérale comme 93.184.215.14, qui ne demande pas de DNS. On pourra alors retirer les --skip

[olivierlambert]

Thanks @wallon-ines, your diagnosis is right: the test was at fault, not the package. Those two tests posted a hostname, and the source edit handler resolves it in DNS to enforce the private address policy, which fails on a builder with no network.

Fixed in #338: they now post an IP literal from the documentation range (192.0.2.10), which is checked without any lookup. It will be in 1.23.0, so you can drop the skips from the spec file then. Thanks for packaging calrs for Fedora!

[olivierlambert]

The fix is out in 1.23.0: you can drop the two test skips from the spec file. Let me know if the COPR build passes cleanly.