冻结Python2.7可执行文件遇双重问题：OpenSSL链接冲突与site模块缺失

问题背景 #

我们基于自定义编译、静态链接OpenSSL的Python2.7，用自带的freeze.py生成冻结可执行文件。该文件在运行LDAP的机器上会意外链接系统OpenSSL库并崩溃，其他机器无异常，崩溃发生在调用tarfile模块读取tar文件时。

已为可执行文件及库设置RPATH为$ORIGIN。为避免链接系统OpenSSL，尝试用-Bsymbolic选项编译Python，但现在冻结可执行文件报错ImportError: No module named site。strace显示程序未从运行目录查找打包的.so文件，所有Python相关.so文件（libpython2.7*及lib-dynload）均与可执行文件同目录，且已设置LD_LIBRARY_PATH指向该目录，还尝试移除了LINKFORSHARED="Xlinker --export-dynamic"。

现寻求两点解答：

1. 为何静态链接OpenSSL的程序仍会在运行LDAP的机器上链接系统OpenSSL？
2. 如何在Python及freeze.py中正确使用-Bsymbolic选项？

以下是freeze程序Makefile的修改内容：

CONFIG_ARGS='--enable-shared' '--prefix=/pythoncompile' 'CC=gcc -m64 -march=nocona' 'CXX=g++' 'AR=ar' 'RANLIB=ranlib' 'LD=ld' 'NM=nm' 'CFLAGS=' 'CPPFLAGS=-fPIC -pthread -I/pythoncompile/openssl/include -Dlinux_x86_64 -I/pythoncompile/zlib/include' 'LDFLAGS=-lpthread  -L/pythoncompile/build -static-libgcc -Wl,-Bsymbolic -Wl,-z,relro,-z,now -Wl,-rpath=$$ORIGIN -Wl,-rpath-link=. -L/pythoncompile/zlib/lib' 'LDSHARED=' 'LINKFORSHARED='

LDFLAGS=-lpthread   -L/pythoncompile -static-libgcc -Wl,-Bsymbolic -Wl,-z,relro,-z,now -Wl,-rpath=$$ORIGIN -Wl,-rpath-link=. -L/pythoncompile/zlib/lib -L$(LIBDIR) -lpython2.7

解答 #

1. 静态链接OpenSSL仍链接系统库的原因 #

• 隐式动态依赖残留：可能仅静态链接了OpenSSL核心库，但Python的部分扩展模块（如_ssl.so）仍动态依赖系统OpenSSL。需检查Python编译配置，确认所有SSL相关模块均静态链接自定义OpenSSL。
• LDAP机器环境干扰：运行LDAP的机器可能设置了LD_PRELOAD、特殊LD_LIBRARY_PATH，或系统库路径中有优先级更高的OpenSSL版本，导致动态链接器优先加载系统库。即使主程序静态链接，若其他动态模块依赖系统OpenSSL，仍会触发加载。
• tarfile模块间接依赖：tarfile读取加密压缩的tar文件时，可能间接调用系统级SSL相关依赖（如系统压缩工具），而非使用静态编译的OpenSSL。

2. 正确使用-Bsymbolic选项的方法 #

• 恢复LINKFORSHARED的--export-dynamic：移除该参数会导致Python符号无法被动态模块访问，这是ImportError: No module named site的核心原因。--export-dynamic确保主程序符号表对动态模块可见，让libpython2.7.so和lib-dynload下的模块能正确解析依赖。
• 缩小-Bsymbolic的应用范围：不要全局添加该选项，仅在链接OpenSSL相关库的步骤中使用。全局使用会破坏Python动态模块的符号解析逻辑，Python依赖全局可见的符号来加载模块。
• 强化RPATH优先级：编译时明确指定-Wl,-rpath=$ORIGIN,-rpath-link=$ORIGIN，确保运行目录的库优先级高于系统路径。可用ldd检查冻结程序的库依赖路径，验证RPATH是否生效。
• 重新编译流程：先恢复LINKFORSHARED="Xlinker --export-dynamic"，调整LDFLAGS仅在链接OpenSSL时加入-Bsymbolic，重新编译Python后再用freeze.py生成冻结程序，确保所有.so文件的路径被正确识别。

内容的提问来源于stack exchange，提问作者user1588281