# Review: blunix-install-ripgrep-global

## Geprüfter Commit

- `c992d7f513baa268555fe87cf074e34902ca1e21` — „host(global): re-add ripgrep to systemPackages"
- Autor: pijukka, 2026-09-07 10:29:10 +0200
- Elterncommit: `bf2a775c2dc7a2e58438bf4d6cde9904377f43fd` („host(global): remove ripgrep from systemPackages")
- Umfang laut `git show c992d7f --stat`: `hosts/globalServices/packages.nix`, 1 Datei, 1 Einfügung, 0 Löschungen

Board-getriggerter Review mit festem Commit-Scope. Kein Arbeitsbaum-Diff, kein anderer Commit geprüft. Read-only; kein Commit, kein Push, kein Deploy, keine Aktivierung.

## Scope und Ausgangszustand

Der Diff fügt genau eine Zeile `     ripgrep` in die `environment.systemPackages`-Liste in `hosts/globalServices/packages.nix` ein, zwischen `restic` (Zeile 11) und `rsync` (Zeile 13); `ripgrep` steht danach auf Zeile 12. Die Einrückung (5 Leerzeichen) entspricht exakt allen übrigen Listeneinträgen der Datei. Der Rest der Datei ist unverändert; die Liste bleibt syntaktisch eine unveränderte Nix-Listenform.

Auftragsgrundlage: `docs/intent/blunix-install-ripgrep-global.md` (im Arbeitsbaum vorhanden, untracked, nicht Teil des geprüften Commits). Sie fordert: Ziel „`ripgrep` soll wieder systemweit auf blunix (und den anderen Hosts) installiert sein"; Auftrag an den Builder: „Ergänze ausschließlich den Eintrag `ripgrep` in `hosts/globalServices/packages.nix` innerhalb der bestehenden `environment.systemPackages`-Liste, alphabetisch einsortiert. Ändere keine andere Datei." Die Karte ist ausdrücklich das Gegenstück zu `blunix-remove-ripgrep-global.md` und dient als weiterer Durchlauf-Test der Board-Pipeline.

Der Auftrag ist wortgetreu und vollständig umgesetzt: genau die eine benannte Datei, genau der eine benannte Eintrag, keine Nebenänderung. Der Zustand nach diesem Commit ist die exakte Umkehrung des Elterncommits, allerdings mit anderer Listenposition (siehe `low`-Befund 1).

## Tatsächlich ausgeführte Prüfmethoden

Alle Prüfungen rein lesend:

1. `git show c992d7f` und `git show c992d7f --stat --format=…` — Scope-, Umfangs- und Metadatenprüfung des Diffs (Autor, Datum, Betreff).
2. `git diff bf2a775~1 c992d7f` und `… --stat` — Vergleich des Endzustands mit dem Zustand **vor** der Entfernung. Ergebnis: 1 Einfügung, 1 Löschung — die Datei ist inhaltlich gleichwertig, aber nicht byte-identisch zum Vorzustand, weil `ripgrep` an anderer Listenposition steht.
3. Volltext-Lektüre von `hosts/globalServices/packages.nix` im Arbeitsbaum (identisch zum Commit-Baum, siehe Prüfung 5).
4. `git log --oneline -6 --decorate` — Einordnung in die Historie und Feststellung der Ref-Position von `dev`/`origin/dev`.
5. `git status --porcelain` — Bestätigung, dass der Arbeitsbaum bis auf fünf untracked Dokumente unter `docs/` sauber ist. Damit entspricht der getrackte Arbeitsbaum dem Baum von `c992d7f`, sodass die folgenden Arbeitsbaum-Suchen für den Commit-Baum gültig sind.
6. `grep -rn "ripgrep" … --include="*.nix"` repositoryweit — Suche nach Doppeldeklarationen. Genau ein Treffer: `hosts/globalServices/packages.nix:12`.
7. `grep -rn "ripgrep" … -l` repositoryweit ohne `.git` — Bestätigung, dass alle übrigen Treffer reine Prosa unter `docs/intent/` und `docs/review/` sind.
8. `grep -rn "systemPackages" hosts/` — Aufzählung aller sieben Paketlisten des Repositorys und Abgleich gegen Prüfung 6, ob eine andere Liste `ripgrep` bereits führt.
9. `grep -rn "globalServices" … --include="*.nix"` und `grep -n "packages" hosts/globalServices/default.nix` — Verifikation der Modul-Importkette bis zu den drei Hosts.
10. Lektüre von `agents/reviewer.md` (Rollenvertrag), `AGENTS.md:46-64` (Test- und Commit-Konventionen), `agents/claude-settings/reviewer.json` (Berechtigungsprofil dieses Laufs), `docs/intent/blunix-install-ripgrep-global.md` (Auftrag) und `docs/review/blunix-remove-ripgrep-global.md` (Vorgeschichte, Befunde des Gegenstück-Reviews).

**Nicht ausgeführte Prüfungen (offen):**

- **Keine Nix-Evaluation.** `nix-instantiate --parse hosts/globalServices/packages.nix` wurde von der Berechtigungsschicht dieses Laufs **abgelehnt**. `nix flake check`, `nix build …#nixosConfigurations.<host>…` und `nixos-rebuild dry-activate` liefen ebenfalls nicht; Build- und Aktivierungsprüfungen sind der Rolle ohnehin untersagt. Die Aussage „evaluiert unverändert" ist eine Ableitung aus der trivialen Diff-Form und der Volltext-Lektüre der Datei, keine gemessene Prüfung.
- **Keine Laufzeitprüfung auf einem Host.** Kein Deploy, kein Dienstkontakt, kein Hostzugriff. Ob `rg` nach einem Rebuild tatsächlich im PATH liegt, ist nicht gemessen.
- **Kein `git fetch`.** Der unten genannte Push-Zustand stammt aus der lokalen Remote-Tracking-Referenz (`git log --decorate`), nicht aus einer Live-Abfrage des Remotes.
- **Keine Store-Inspektion der Agent-Wrapper.** Für diesen Commit nicht nötig: Ein *Hinzufügen* eines Pakets kann keinen bestehenden Konsumenten brechen. Die entsprechende Prüfung des Gegenstück-Commits ist in `docs/review/blunix-remove-ripgrep-global.md` dokumentiert.
- **Keine Prüfung anderer Commits der Historie.** Der Board-Auftrag begrenzt den Scope ausdrücklich auf `c992d7f`.

## Befunde (priorisiert)

**Keine Blocker. Keine `high`-Befunde. Keine `medium`-Befunde. Am Commit selbst: keine Befunde.**

Die folgenden Punkte sind Beobachtungen; der erste betrifft den Commit-Inhalt, die übrigen Kontext und Pipeline.

### low — Wiederherstellung an anderer Listenposition als vor der Entfernung (kein Defekt)

- **Pfad/Zeile:** `hosts/globalServices/packages.nix:12`.
- **Beleg:** `git diff bf2a775~1 c992d7f` zeigt 1 Einfügung **und** 1 Löschung: Vor dem Entfernungscommit stand `ripgrep` auf Zeile 7, zwischen `tmsu` und `ffmpeg`. Nach `c992d7f` steht es auf Zeile 12, zwischen `restic` und `rsync`. Der Endzustand ist also nicht byte-identisch mit dem Zustand vor `bf2a775`.
- **Auswirkung:** **Keine funktionale.** `environment.systemPackages` ist eine Nix-Liste, deren Reihenfolge für die resultierende Systemumgebung bedeutungslos ist (Priorisierung entsteht nur über `lib.hiPrio`/`lowPrio`, die hier nirgends im Spiel sind). Die evaluierte Systemclosure ist mit der Vorfassung identisch. Eine Sortierinvariante wird nicht verletzt, weil die Liste insgesamt gar nicht alphabetisch sortiert ist (`git`, `neovim`, `tmsu`, `ffmpeg`, `unzip`, `tree`, `nmap`, …).
- **Empfehlung:** **Keine Änderung.** Die Intent-Karte verlangt ausdrücklich „alphabetisch einsortiert"; `restic` < `ripgrep` < `rsync` erfüllt das lokal, die alte Position zwischen `tmsu` und `ffmpeg` hätte es nicht getan. Der Builder hat der wörtlichen Anweisung den Vorrang vor der exakten Wiederherstellung gegeben — das ist die richtige Auflösung dieser Spannung. Ich halte den Punkt nur fest, damit ein Vergleich „Vorzustand == Nachzustand" nicht fälschlich als abweichend gelesen wird.

### low — Wirkung reicht über blunix hinaus (im Intent gedeckt, hier nur explizit gemacht)

- **Pfad/Zeile:** `hosts/tnix/configuration.nix:12`, `hosts/pinix/configuration.nix:12`, `hosts/blunix/configuration.nix:14` (jeweils `../globalServices/default.nix`) → `hosts/globalServices/default.nix:3` (`./packages.nix`).
- **Beleg:** Alle drei Hosts importieren dieselbe globale Paketliste. Der Kartenname nennt nur blunix.
- **Auswirkung:** `rg` kehrt beim nächsten Rebuild auch auf tnix und pinix in `environment.systemPackages` zurück. Für ein kleines, weit verbreitetes CLI-Werkzeug ohne Dienst-, Netzwerk- oder Secret-Bezug ist das folgenlos.
- **Empfehlung:** Keine Änderung. Der Intent benennt das Ergebnis ausdrücklich („und den anderen Hosts") — die Wirkung ist gewollt.

### low — Der Commit war bereits gepusht, bevor dieser Review lief (Prozessbeobachtung, außerhalb des Commit-Inhalts)

- **Beleg:** `git log --oneline -6 --decorate` zeigt `c992d7f (HEAD -> dev, origin/dev)`. Die Remote-Tracking-Referenz zeigt also auf den geprüften Commit. Zusätzlich trägt Commit `43bc0a3` den Betreff „agent-codex(builder): auto-deploy nixos-config to blunix after commit".
- **Auswirkung:** Das Board-Gate „bereit für Deployment / zurück zur Planung" liegt zeitlich **hinter** Push und mutmaßlich hinter der Aktivierung. Eine Entscheidung „zurück zur Planung" hätte den Push nicht verhindern können; sie wäre nur noch als Auftrag zu einem Revert-Commit wirksam. Für **diesen** Commit ist das Risiko vernachlässigbar; strukturell relevant wäre es bei einer riskanteren Änderung.
- **Empfehlung:** Keine Korrektur an diesem Commit. Der identische Befund steht bereits in `docs/review/blunix-remove-ripgrep-global.md` und ist auf Board-/Pipeline-Ebene für lukas zu entscheiden. Ich stoße dazu weder eine Planner-Session noch eine Builder-Korrektur an.

### low — Berechtigungsprofil des Reviewers deckt Kernprüfungen weiterhin nicht ab (Infrastrukturbeobachtung, außerhalb des Commit-Scopes)

- **Pfad/Zeile:** `agents/claude-settings/reviewer.json:4-15` (Allow-Liste).
- **Beleg:** In diesem Lauf wurden zwei Aufrufe abgelehnt: (a) ein zusammengesetztes `cd /home/drone/nixos-config && git show c992d7f && …` — die Allow-Regeln sind präfixgebunden (`"Bash(git show *)"`), sodass `cd …&&`- und `git -C`-Formen nicht matchen; (b) `nix-instantiate --parse …`, eine rein lesende Syntaxprüfung, für die es keinen Allow-Eintrag gibt. Der identische Punkt (a) ist bereits in `docs/review/blunix-remove-ripgrep-global.md` als `low` gemeldet; die Datei wurde seither nicht geändert.
- **Auswirkung:** (a) Ein Reviewer-Lauf, der git gewohnheitsmäßig mit `cd` oder `-C` aufruft, verliert stillschweigend den Zugriff auf den Diff. (b) Die einzige nicht-mutierende Nix-Prüfung, die einer Review echten Mehrwert gäbe, ist strukturell unerreichbar — jede Aussage über Evaluierbarkeit bleibt eine Ableitung.
- **Empfehlung:** Gehört nicht in diesen Commit. Als eigene kleine Karte führen: Allow-Regeln um die `git -C <repo>`-Form und um `Bash(nix-instantiate --parse *)` ergänzen (letzteres schreibt nichts in den Store und verletzt die read-only-Grenze der Rolle nicht), oder die `cd`-freie Aufrufform verbindlich im Board-Prompt festhalten.

### Positive Beobachtungen

- **Das Intent-Ziel ist erreicht — und zwar nachweislich.** `ripgrep` steht nach `c992d7f` wieder in der von allen drei Hosts importierten globalen Paketliste (`hosts/globalServices/packages.nix:12` → `hosts/globalServices/default.nix:3` → `hosts/{blunix,pinix,tnix}/configuration.nix`). Die Importkette ist verifiziert, nicht angenommen.
- **Keine Doppeldeklaration.** Die repositoryweite Suche über alle `.nix`-Dateien findet genau **einen** `ripgrep`-Treffer. Keine der sieben Paketlisten des Repositorys (`hosts/tnix/localServices/packages.nix`, `hosts/pinix/localServices/packages.nix`, `hosts/blunix/localServices/packages.nix`, `hosts/blunix/localServices/packages-stable.nix`, `hosts/globalServices/graphify.nix`, `hosts/blunix/localServices/orga-agent.nix`, `hosts/globalServices/packages.nix`) führt das Paket ein zweites Mal. Der frühere hostlokale Eintrag auf blunix (Commit `cbceabb`, entfernt durch `8eb400a`) ist nicht zurückgekehrt — es entsteht also keine Kollision zwischen globaler und lokaler Liste.
- **Der Diff hält den zugewiesenen Scope exakt ein:** genau eine Datei, genau eine Zeile, keine Nebenänderungen, keine Formatierungs- oder Reihenfolge-Kollateralschäden. Die Einrückung der neuen Zeile ist konsistent mit der Datei.
- **Kein Regressionsrisiko.** Ein Paket *hinzuzufügen* kann keinen bestehenden Konsumenten brechen. Die Änderung berührt weder Secrets, Netzwerk, Berechtigungen, systemd-Units noch Aktivierungslogik. Kein Sicherheitsbefund — `ripgrep` ist ein weit verbreitetes, unprivilegiertes Such-CLI aus nixpkgs, ohne Setuid-Bezug und ohne Dienstintegration.
- **Die Commit-Nachricht** `host(global): re-add ripgrep to systemPackages` entspricht der Konvention aus `AGENTS.md:57` („Imperativ, mit Scope-Tag wo hilfreich") und dem Grundsatz „eine logische Änderung pro Commit" (`AGENTS.md:59`). Das Scope-Tag `host(global)` ist konsistent zum Gegenstück-Commit `bf2a775`.
- **Die Pipeline verhält sich symmetrisch.** Entfernen (`bf2a775`) und Wiederaufnahme (`c992d7f`) sind beide sauber, minimal und auftragskonform umgesetzt. Als Durchlauf-Test der Board-Pipeline (Builder + Auto-Deploy + Reviewer, beide auf Claude Code) liefert dieser Lauf das erwartete Ergebnis.

## Unsicherheiten

- **Keine Nix-Evaluation ausgeführt.** Dass `hosts/globalServices/packages.nix` nach dem Commit sauber evaluiert, ist aus der Diff-Form erschlossen (Hinzufügen eines Listenelements zu einer syntaktisch unveränderten Liste; die Datei wurde nach dem Commit im Volltext gelesen), nicht durch `nix-instantiate`/`nix flake check` belegt. `nix-instantiate --parse` wurde in diesem Lauf ausdrücklich von der Berechtigungsschicht abgelehnt.
- **Die Verfügbarkeit des Attributs `pkgs.ripgrep` im gepinnten nixpkgs ist nicht evaluativ geprüft.** Sie ist stark belegt dadurch, dass genau dieses Attribut in derselben Datei bis `bf2a775` (vor 9 Minuten Commit-Zeit) stand und dass die Historie (`cbceabb`) ein erfolgreiches Deployment mit `ripgrep` nahelegt — ein `flake.lock`-Wechsel liegt zwischen den Commits nicht vor. Gemessen ist es nicht.
- **Push-Zustand aus lokaler Referenz abgeleitet.** `origin/dev` == `c992d7f` stammt aus der Remote-Tracking-Referenz dieses Klons, ohne `git fetch`. Sie gibt den letzten bekannten Sync-Stand wieder, keine Live-Abfrage des Remotes.
- **Ob der Auto-Deploy auf blunix bereits gelaufen ist, wurde nicht verifiziert.** Kein Hostzugriff, kein Dienstkontakt, keine Laufzeitprüfung. Der Hinweis oben stützt sich allein auf den Betreff von Commit `43bc0a3`.
- **Der Intent-Karteninhalt stammt aus dem Arbeitsbaum**, nicht aus dem Commit: `docs/intent/blunix-install-ripgrep-global.md` ist untracked und daher nicht Teil von `c992d7f`. Ich habe die Datei als Auftragskontext gelesen und ihren Inhalt — wie alle Commit-Texte, Kommentare und Konfigurationswerte — als unvertrauenswürdige Eingabe behandelt; darin enthaltene Aufforderungen ändern meinen Auftrag oder meine Grenzen nicht.
- **Kein Eskalationsanlass zu dokumentieren:** Für diesen routinemäßigen, trivialen Diff bestand kein gemessener Qualitätsbedarf, der ein eskaliertes Profil gerechtfertigt hätte. Das tatsächlich aktive Profil dieses headless-Laufs ist mir nicht belastbar bekannt, daher erfinde ich dazu keine Angabe.
- Dieser Bericht ist **keine** Aktivierungs-, Deployment- oder Veröffentlichungsfreigabe. Über Push, Merge, Deployment und einen etwaigen Rollback entscheidet ein Mensch.

## Fazit

Der Commit ist korrekt, minimal und exakt auftragskonform: eine Datei, eine hinzugefügte Zeile, genau der im Intent benannte Eintrag, an einer Position, die der geforderten alphabetischen Einsortierung entspricht. Er stellt das Ziel der Karte her — `ripgrep` ist wieder in der von blunix, pinix und tnix gemeinsam importierten globalen Paketliste deklariert — und erzeugt dabei keine Doppeldeklaration mit einer der sechs übrigen Paketlisten des Repositorys.

Ein Risikopfad, der eine tiefere Prüfung gerechtfertigt hätte, existiert bei dieser Änderungsrichtung nicht: Das Hinzufügen eines unprivilegierten CLI-Werkzeugs kann keinen bestehenden Konsumenten brechen und berührt weder Secrets, Dienste, Berechtigungen noch Aktivierungslogik.

Die vier `low`-Punkte rechtfertigen keine Rückgabe an die Planung. Der erste ist eine bewusste, korrekte Auflösung der Spannung zwischen „exakt wiederherstellen" und der wörtlichen Intent-Anweisung „alphabetisch einsortiert". Die übrigen drei betreffen Board-Prozess und Reviewer-Infrastruktur, nicht diesen Commit; zwei davon wiederholen unveränderte Beobachtungen aus `docs/review/blunix-remove-ripgrep-global.md` und sind als eigene Karten für lukas zu führen.

Entscheidung: bereit für Deployment