rpms/harfbuzz
1
0
Fork 0
Code Issues 1 Pull requests Projects Releases Packages Wiki Activity Actions

Upstream update available: harfbuzz 11.4.1 → 14.2.0 #2

New issue
Open
opened 2026-04-28 01:14:43 +03:00 by sbelikov · 0 comments
sbelikov commented 2026-04-28 01:14:43 +03:00
Owner
Copy link

Upstream update available: harfbuzz 11.4.1 → 14.2.0

Package

  • Package: harfbuzz
  • RPM name: harfbuzz
  • Branch: niceos-5.2
  • Current EVR: 11.4.1-1
  • Update class: major
  • Compare method: python_rpm
  • Update policy: leaf
  • Risk tags: github-upstream

Upstream

Signals

  • Security-relevant keywords detected: False
  • Policy blocked: False
  • Policy reason: -
  • Labels: ai-summary, bot, needs-build, needs-triage, priority/high, update/major, upstream-update, upstream/github

NiceSOFT AI preliminary analysis

1. Краткий вывод

Это мажорное обновление библиотеки HarfBuzz с версии 11.4.1 до 14.2.0, включающее стабилизацию экспериментальных GPU, векторных и растровых подсистем. Обновление сопровождается значительными изменениями в API (возвращаемые типы функций, новые методы, переименования) и удалением устаревших функций.

2. Риск для НАЙС.ОС

high. Обновление является мажорным (major), что подразумевает потенциально несовместимые изменения ABI/API. Библиотека широко используется как зависимость для многих приложений (например, LibreOffice, браузеры), поэтому любые изменения в публичном API могут вызвать крах или ошибки времени выполнения у пользователей дистрибутива.

3. Security/CVE

Во входных данных отсутствуют явные указания на наличие уязвимостей (security_keywords_detected_by_script: False). Упоминание "fuzzer fixes" указывает на исправление потенциальных проблем безопасности, но конкретных CVE или описаний эксплойтов в тексте релиз-нотов нет.

4. ABI/API риск

Критический уровень риска. В релиз-нотах детально описаны изменения, влияющие на бинарную совместимость и контракт разработчика:

  • Изменение возвращаемых типов: функции hb_gpu_draw_glyph(), hb_vector_draw_glyph(), hb_raster_draw_glyph() и их аналоги для paint теперь возвращают void вместо hb_bool_t. Это требует изменения кода всех потребителей, ожидающих проверку успеха операции.
  • Удаление функций: hb_gpu_draw_get_extents() удалена, её функционал перенесён в параметр выхода другой функции.
  • Переименование: hb_gpu_draw_darken() -> hb_gpu_stem_darken(), а также изменения в именах функций для векторной подсистемы.
  • Изменение сигнатур: добавление const к аргументам и переход на указатели на контекст вместо глобальных синглтонов для получения функций отрисовки.
  • Новые обязательные шаги: использование новых методов клиппинга (push_clip_path_start/end) меняет логику работы с путями.

5. Риск для RPM-сборки

  • BuildRequires: Возможно потребуется обновление зависимостей, если они жестко привязаны к старым версиям (хотя для мажорного обновления это менее вероятно, чем для патч-уровня, но стоит проверить).
  • %check: Тесты, проверяющие наличие старых API или поведение функций, возвращающих bool, могут начать проваливаться.
  • Патчи: Если в репозитории НАЙС.ОС есть патчи, модифицирующие заголовочные файлы или вызовы API, они потребуют полного переподгонки под новую версию.
  • Spec file: Необходимо убедиться, что макросы версий корректно отражают мажорный скачок.

6. Проверки мейнтейнера

  1. Проверить список пакетов, зависящих от harfbuzz (RPM-дерево зависимостей), особенно те, которые сами являются библиотеками или имеют публичный API.
  2. Провести ручной анализ изменений в заголовочных файлах (hb.h и связанные) для подтверждения списка измененных функций.
  3. Запустить сборку всех пакетов, зависящих от harfbuzz, в изолированной среде.
  4. Выполнить тесты (%check) для зависимых пакетов, обращая внимание на ошибки компиляции или падения при запуске.
  5. Проверить наличие патчей в исходном коде дистрибутива, касающихся harfbuzz, и актуализировать их.
  6. Оценить влияние на системные утилиты, использующие GPU/Vektor/Raster подсистемы (если такие есть в базовом наборе).

7. Рекомендация

blocked manual review

8. Основание рекомендации

Несмотря на то, что обновление полезно и содержит важные улучшения (стабилизация GPU/Vektor), мажорный скачок версии с фундаментальными изменениями сигнатур API (изменение возвращаемых типов, удаление функций, переименования) создает высокий риск поломки зависимых пакетов и приложений в дистрибутиве. Автоматическое обновление недопустимо. Требуется тщательная ручная проверка всех зависимых пакетов и, при необходимости, внесение корректирующих патчей или ожидание следующего минорного выпуска, если текущий критичен для стабильности.

Upstream release notes / description

In this release, the experimental raster, vector, and GPU libraries went through several rounds of code review and cleanup to make sure they follow the high standards expected of HarfBuzz code. The API has also been extensively reviewed based on experience gained from using these libraries. We consider the code and API to be ready for stabilization, and we expect to graduate them from experimental in the near future. If you are using or planning to use these libraries and have any concerns about the API, it is time to raise them. Once a library is deemed stable, we will never change the API or ABI in an incompatible way.

  • GPU library:

    • New color-glyph paint renderer, based on design by Lê Duy Quang.
      hb_gpu_paint_t walks a font's paint tree (COLRv0 or COLRv1) and encodes its layers (solid fills, linear / radial / sweep gradients, transforms, composite groups) into a compact blob.
      A new fragment-shader function hb_gpu_paint() renders the blob in premultiplied RGBA; monochrome glyphs are handled transparently via a synthesized foreground-colored layer.
      Shader sources provided in GLSL, WGSL, MSL, and HLSL.
    • Paint encoder limitations: the encoder sets unsupported and returns NULL when num_ops would exceed 32767, push_group nests deeper than 4, or the paint tree calls back through the image callback (PaintImage).
      Nested glyph clips are intersected up to 3 levels; a few composite modes use approximate fallbacks; push_clip_rectangle is silently ignored.
    • Encode entry point now returns extents and auto-clears the encoder; the standalone get_extents() is gone.
    • Gradient color stop interpolation now happens in premultiplied space per the OpenType COLR specification.
    • The foreground color sentinel (is_foreground) now correctly preserves the paint-tree alpha from the encoded color data instead of discarding it.
    • The hb-gpu utility gains --draw / --paint flags with per-font auto-detect, and --output-file / -o for headless single-frame rendering to a PPM image.

  • Vector library:

    • New PDF output backend. Vector paint glyphs now render to PDF page content, producing scalable COLRv0 / COLRv1 color-glyph artwork (solid fills, linear / radial / sweep gradients, blend modes, PNG images with transparency) that can be embedded directly in PDF documents. Useful for PDF producers such as LibreOffice that want crisp, resolution-independent color emoji.
    • New SVG id prefix API on paint allows prefixing document references, which allows for embedding multiple SVGs in the same page without name clashes (hb_vector_paint_set_svg_prefix).
    • Removed glyph path dedup from vector draw and paint. Each glyph is emitted inline; no <defs> / <use> caching.
    • _glyph() functions are now thin convenience wrappers documented as equivalent expansions of the underlying font draw/paint API.
    • Drop glyph-source rendering of SVG-in-OT fonts.

  • Raster library:

    • Drop glyph-source rendering of SVG-in-OT fonts.

  • Across Draw / Paint subsystems:

    • _reset() methods gain matching_clear() companions that drop accumulated data while preserving user configuration. Getter companions added for setters across raster, vector, and gpu types.

  • Various fuzzer fixes for raster, vector, and GPU libraries.

  • Paint API:

    • New arbitrary-path clip: hb_paint_push_clip_path_start / _end let callers clip to a caller-supplied outline, not just a font glyph. push_clip_path_start() returns the draw-funcs (and matching draw data) for the backend’s path accumulator; the caller drives hb_draw_*() into it, then calls push_clip_path_end(), followed by painted ops, then hb_paint_pop_clip() to release the clip. Implemented for all paint backends: vector (SVG defs + clipPath + url ref), vector PDF (q / path / W n), raster (path rendered to an alpha mask, intersected with the current clip), and GPU (the path is encoded into a Slug sub-blob so the fragment shader clips against it the same way it clips against glyph outlines).

  • Shaping:

    • Indic: categorize U+1CF5 and U+1CF6 as CS.

  • Changed API

    • GPU library:

      • hb_gpu_draw_glyph() now returns void (was hb_bool_t). Use hb_gpu_draw_glyph_or_fail() if you need the success status.
      • hb_gpu_paint_glyph() now returns void (was hb_bool_t) and internally synthesizes a foreground-colored layer for non-color glyphs via hb_font_paint_glyph(), so every glyph with an outline produces output. Use hb_gpu_paint_glyph_or_fail() (which delegates to hb_font_paint_glyph_or_fail()) if you need to distinguish color vs synthesized paint. Encoder-level limits (unsupported ops, group-stack overflow) no longer fail paint_glyph; they surface from hb_gpu_paint_encode() returning NULL.
      • hb_gpu_draw_encode() now takes an extents out-parameter and auto-clears the encoder on return.
      • hb_gpu_draw_darken() renamed to hb_gpu_stem_darken().

    • Vector library:

      • hb_vector_svg_set_precision() and its paint counterpart renamed to hb_vector_draw_set_precision() / hb_vector_paint_set_precision() (SVG-specific naming is inaccurate with the PDF backend added).
      • hb_vector_draw_glyph() / hb_vector_paint_glyph() now return void (were hb_bool_t). Paint additionally gains a draw fallback for non-color glyphs. Use the matching _or_fail() variants for the hb_bool_t return.

    • Raster library:

      • hb_raster_draw_glyph() / hb_raster_paint_glyph() now return void (were hb_bool_t). Paint additionally gains a draw fallback for non-color glyphs. Use the matching _or_fail() variants for the hb_bool_t return.

    • General:

      • Many read-only getters gained const on their object argument.
      • Six public draw / paint funcs getters across raster, vector, and gpu now take a const-pointer to the relevant context instance instead of being singletons:
        hb_raster_draw_get_funcs (const hb_raster_draw_t *)`
        hb_ras

...[truncated 3718 chars]

NiceOS maintainer checklist

  • Confirm that the detected version is a stable upstream release.
  • Check upstream changelog for security fixes, ABI/API changes and build-system changes.
  • Check ABI/API compatibility and reverse dependencies.
  • Download source into NiceOS lookaside storage.
  • Update Version and related fields in SPECS/*.spec only if policy allows it.
  • Regenerate SOURCES/sources.lock.json, manifests, metadata and SBOM.
  • Build SRPM/RPM in a clean NiceOS buildroot.
  • Run package smoke tests.
  • Link PR/build logs and close this issue after update or triage.

Bot metadata

  • Tool: niceos_upstream_monitor.py 1.4
  • Generated at: 2026-04-27T22:14:42Z
<!-- niceos-upstream-monitor:fingerprint=upstream-update:harfbuzz:14.2.0 --> <!-- niceos-upstream-monitor:package=harfbuzz --> <!-- niceos-upstream-monitor:current=11.4.1 --> <!-- niceos-upstream-monitor:latest=14.2.0 --> # Upstream update available: `harfbuzz` `11.4.1` → `14.2.0` ## Package - Package: `harfbuzz` - RPM name: `harfbuzz` - Branch: `niceos-5.2` - Current EVR: `11.4.1-1` - Update class: `major` - Compare method: `python_rpm` - Update policy: `leaf` - Risk tags: `github-upstream` ## Upstream - Upstream type: `github` - Upstream project: `harfbuzz/harfbuzz` - Upstream URL: https://github.com/harfbuzz/harfbuzz - Detected version: `14.2.0` - Tag/release: `14.2.0` - Source: `github_release_latest` - Published: `2026-04-20T03:15:55Z` - Release URL: https://github.com/harfbuzz/harfbuzz/releases/tag/14.2.0 - Source URL: https://api.github.com/repos/harfbuzz/harfbuzz/tarball/14.2.0 - Pre-release: `False` ## Signals - Security-relevant keywords detected: `False` - Policy blocked: `False` - Policy reason: `-` - Labels: `ai-summary, bot, needs-build, needs-triage, priority/high, update/major, upstream-update, upstream/github` ## NiceSOFT AI preliminary analysis ### 1. Краткий вывод Это мажорное обновление библиотеки HarfBuzz с версии 11.4.1 до 14.2.0, включающее стабилизацию экспериментальных GPU, векторных и растровых подсистем. Обновление сопровождается значительными изменениями в API (возвращаемые типы функций, новые методы, переименования) и удалением устаревших функций. ### 2. Риск для НАЙС.ОС **high**. Обновление является мажорным (major), что подразумевает потенциально несовместимые изменения ABI/API. Библиотека широко используется как зависимость для многих приложений (например, LibreOffice, браузеры), поэтому любые изменения в публичном API могут вызвать крах или ошибки времени выполнения у пользователей дистрибутива. ### 3. Security/CVE Во входных данных отсутствуют явные указания на наличие уязвимостей (security_keywords_detected_by_script: False). Упоминание "fuzzer fixes" указывает на исправление потенциальных проблем безопасности, но конкретных CVE или описаний эксплойтов в тексте релиз-нотов нет. ### 4. ABI/API риск **Критический уровень риска**. В релиз-нотах детально описаны изменения, влияющие на бинарную совместимость и контракт разработчика: * Изменение возвращаемых типов: функции `hb_gpu_draw_glyph()`, `hb_vector_draw_glyph()`, `hb_raster_draw_glyph()` и их аналоги для paint теперь возвращают `void` вместо `hb_bool_t`. Это требует изменения кода всех потребителей, ожидающих проверку успеха операции. * Удаление функций: `hb_gpu_draw_get_extents()` удалена, её функционал перенесён в параметр выхода другой функции. * Переименование: `hb_gpu_draw_darken()` -> `hb_gpu_stem_darken()`, а также изменения в именах функций для векторной подсистемы. * Изменение сигнатур: добавление `const` к аргументам и переход на указатели на контекст вместо глобальных синглтонов для получения функций отрисовки. * Новые обязательные шаги: использование новых методов клиппинга (`push_clip_path_start/end`) меняет логику работы с путями. ### 5. Риск для RPM-сборки * **BuildRequires**: Возможно потребуется обновление зависимостей, если они жестко привязаны к старым версиям (хотя для мажорного обновления это менее вероятно, чем для патч-уровня, но стоит проверить). * **%check**: Тесты, проверяющие наличие старых API или поведение функций, возвращающих `bool`, могут начать проваливаться. * **Патчи**: Если в репозитории НАЙС.ОС есть патчи, модифицирующие заголовочные файлы или вызовы API, они потребуют полного переподгонки под новую версию. * **Spec file**: Необходимо убедиться, что макросы версий корректно отражают мажорный скачок. ### 6. Проверки мейнтейнера 1. Проверить список пакетов, зависящих от `harfbuzz` (RPM-дерево зависимостей), особенно те, которые сами являются библиотеками или имеют публичный API. 2. Провести ручной анализ изменений в заголовочных файлах (`hb.h` и связанные) для подтверждения списка измененных функций. 3. Запустить сборку всех пакетов, зависящих от `harfbuzz`, в изолированной среде. 4. Выполнить тесты (`%check`) для зависимых пакетов, обращая внимание на ошибки компиляции или падения при запуске. 5. Проверить наличие патчей в исходном коде дистрибутива, касающихся `harfbuzz`, и актуализировать их. 6. Оценить влияние на системные утилиты, использующие GPU/Vektor/Raster подсистемы (если такие есть в базовом наборе). ### 7. Рекомендация **blocked manual review** ### 8. Основание рекомендации Несмотря на то, что обновление полезно и содержит важные улучшения (стабилизация GPU/Vektor), мажорный скачок версии с фундаментальными изменениями сигнатур API (изменение возвращаемых типов, удаление функций, переименования) создает высокий риск поломки зависимых пакетов и приложений в дистрибутиве. Автоматическое обновление недопустимо. Требуется тщательная ручная проверка всех зависимых пакетов и, при необходимости, внесение корректирующих патчей или ожидание следующего минорного выпуска, если текущий критичен для стабильности. ## Upstream release notes / description In this release, the experimental raster, vector, and GPU libraries went through several rounds of code review and cleanup to make sure they follow the high standards expected of HarfBuzz code. The API has also been extensively reviewed based on experience gained from using these libraries. We consider the code and API to be ready for stabilization, and we expect to graduate them from experimental in the near future. If you are using or planning to use these libraries and have any concerns about the API, it is time to raise them. Once a library is deemed stable, we will never change the API or ABI in an incompatible way. - GPU library: * New color-glyph paint renderer, based on design by Lê Duy Quang. `hb_gpu_paint_t` walks a font's paint tree (COLRv0 or COLRv1) and encodes its layers (solid fills, linear / radial / sweep gradients, transforms, composite groups) into a compact blob. A new fragment-shader function `hb_gpu_paint()` renders the blob in premultiplied RGBA; monochrome glyphs are handled transparently via a synthesized foreground-colored layer. Shader sources provided in GLSL, WGSL, MSL, and HLSL. * Paint encoder limitations: the encoder sets `unsupported` and returns `NULL` when `num_ops` would exceed 32767, `push_group` nests deeper than 4, or the paint tree calls back through the image callback (PaintImage). Nested glyph clips are intersected up to 3 levels; a few composite modes use approximate fallbacks; `push_clip_rectangle` is silently ignored. * Encode entry point now returns extents and auto-clears the encoder; the standalone `get_extents()` is gone. * Gradient color stop interpolation now happens in premultiplied space per the OpenType COLR specification. * The foreground color sentinel (`is_foreground`) now correctly preserves the paint-tree alpha from the encoded color data instead of discarding it. * The hb-gpu utility gains `--draw` / `--paint` flags with per-font auto-detect, and `--output-file` / `-o` for headless single-frame rendering to a PPM image. - Vector library: * New PDF output backend. Vector paint glyphs now render to PDF page content, producing scalable COLRv0 / COLRv1 color-glyph artwork (solid fills, linear / radial / sweep gradients, blend modes, PNG images with transparency) that can be embedded directly in PDF documents. Useful for PDF producers such as LibreOffice that want crisp, resolution-independent color emoji. * New SVG id prefix API on paint allows prefixing document references, which allows for embedding multiple SVGs in the same page without name clashes (`hb_vector_paint_set_svg_prefix`). * Removed glyph path dedup from vector draw and paint. Each glyph is emitted inline; no `<defs>` / `<use>` caching. * `_glyph()` functions are now thin convenience wrappers documented as equivalent expansions of the underlying font draw/paint API. * Drop glyph-source rendering of SVG-in-OT fonts. - Raster library: * Drop glyph-source rendering of SVG-in-OT fonts. - Across Draw / Paint subsystems: * `_reset()` methods gain matching`_clear()` companions that drop accumulated data while preserving user configuration. Getter companions added for setters across raster, vector, and gpu types. - Various fuzzer fixes for raster, vector, and GPU libraries. - Paint API: * New arbitrary-path clip: `hb_paint_push_clip_path_start` / `_end` let callers clip to a caller-supplied outline, not just a font glyph. `push_clip_path_start()` returns the draw-funcs (and matching draw data) for the backend’s path accumulator; the caller drives `hb_draw_*()` into it, then calls `push_clip_path_end()`, followed by painted ops, then `hb_paint_pop_clip()` to release the clip. Implemented for all paint backends: vector (SVG defs + clipPath + url ref), vector PDF (q / path / W n), raster (path rendered to an alpha mask, intersected with the current clip), and GPU (the path is encoded into a Slug sub-blob so the fragment shader clips against it the same way it clips against glyph outlines). - Shaping: * Indic: categorize U+1CF5 and U+1CF6 as CS. - Changed API * GPU library: - `hb_gpu_draw_glyph()` now returns `void` (was `hb_bool_t`). Use `hb_gpu_draw_glyph_or_fail()` if you need the success status. - `hb_gpu_paint_glyph()` now returns `void` (was `hb_bool_t`) and internally synthesizes a foreground-colored layer for non-color glyphs via `hb_font_paint_glyph()`, so every glyph with an outline produces output. Use `hb_gpu_paint_glyph_or_fail()` (which delegates to `hb_font_paint_glyph_or_fail()`) if you need to distinguish color vs synthesized paint. Encoder-level limits (unsupported ops, group-stack overflow) no longer fail paint_glyph; they surface from `hb_gpu_paint_encode()` returning `NULL`. - `hb_gpu_draw_encode()` now takes an `extents` out-parameter and auto-clears the encoder on return. - `hb_gpu_draw_darken()` renamed to `hb_gpu_stem_darken()`. * Vector library: - `hb_vector_svg_set_precision()` and its paint counterpart renamed to `hb_vector_draw_set_precision()` / `hb_vector_paint_set_precision()` (SVG-specific naming is inaccurate with the PDF backend added). - `hb_vector_draw_glyph()` / `hb_vector_paint_glyph()` now return `void` (were `hb_bool_t`). Paint additionally gains a draw fallback for non-color glyphs. Use the matching `_or_fail()` variants for the `hb_bool_t` return. * Raster library: - `hb_raster_draw_glyph()` / `hb_raster_paint_glyph()` now return `void` (were `hb_bool_t`). Paint additionally gains a draw fallback for non-color glyphs. Use the matching `_or_fail()` variants for the `hb_bool_t` return. * General: - Many read-only getters gained const on their object argument. - Six public draw / paint funcs getters across raster, vector, and gpu now take a const-pointer to the relevant context instance instead of being singletons: hb_raster_draw_get_funcs (const hb_raster_draw_t *)` hb_ras ...[truncated 3718 chars] ## NiceOS maintainer checklist - [ ] Confirm that the detected version is a stable upstream release. - [ ] Check upstream changelog for security fixes, ABI/API changes and build-system changes. - [ ] Check ABI/API compatibility and reverse dependencies. - [ ] Download source into NiceOS lookaside storage. - [ ] Update `Version` and related fields in `SPECS/*.spec` only if policy allows it. - [ ] Regenerate `SOURCES/sources.lock.json`, manifests, metadata and SBOM. - [ ] Build SRPM/RPM in a clean NiceOS buildroot. - [ ] Run package smoke tests. - [ ] Link PR/build logs and close this issue after update or triage. ## Bot metadata - Tool: `niceos_upstream_monitor.py 1.4` - Generated at: `2026-04-27T22:14:42Z`
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
niceos-5.2
No results found.
Labels
Clear labels   
ai-summary
Issue contains local NiceSOFT AI generated preliminary analysis

  
bot
Created by automation

  
needs-build
Needs build verification

  
needs-triage
Needs maintainer triage

  
priority/high
High priority

  
update/major
Major update

  
upstream-update
New upstream version is available

  
upstream/github
GitHub upstream

No labels
ai-summary
bot
needs-build
needs-triage
priority/high
update/major
upstream-update
upstream/github
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
rpms/harfbuzz#2
No description provided.