nix-build运行dotnet restore失败但nix-shell --pure正常问题咨询

问题1：手动设置HOME后nix-build与nix-shell --pure的运行环境差异 #

二者核心区别不受HOME变量配置影响，核心差异如下：

• 网络权限：NixOS默认开启构建沙箱，nix-build的整个构建过程运行在隔离沙箱内，默认禁止网络访问、屏蔽宿主的DNS与网络栈，所以会出现域名解析失败的报错；nix-shell --pure仅清理了宿主环境变量，始终运行在当前用户的网络命名空间下，可正常访问公网。
• 运行身份：nix-build使用无额外权限的nixbld用户执行构建，无法读取任何未被显式声明为构建输入的宿主文件；nix-shell --pure以当前登录用户身份运行，继承对宿主文件的访问权限。
• 环境纯净度：nix-build的环境变量完全由派生配置定义，无任何未声明的宿主变量泄露；nix-shell --pure仍会保留少量终端、会话相关的环境变量。

问题2：手动预处理nuget依赖的必要性 #

该做法是Nix默认规则下的必选方案，原因如下：

• Nix要求所有构建过程可复现，禁止构建过程动态拉取未受控的外部资源，因此无法在nix-build的dotnet restore步骤直接从nuget.org拉取依赖。
• 手动打包nuget依赖本质是提前固定所有依赖的哈希值，将其纳入Nix的依赖管理体系，确保每次构建使用的依赖完全一致，符合Nix的可复现性要求。

可行调整方案 #

你可以使用nuget-to-nix工具将项目依赖的所有nuget包生成为固定输出派生，在构建阶段将这些依赖提前部署为本地nuget源，执行dotnet restore时指定--source指向本地源即可绕过网络请求。

内容的提问来源于stack exchange，提问作者xiang0x48