apt и репозитории

apt против apt-get: тот же движок, другой интерфейс. apt-get существует с 1998 года; apt добавили в 2014-м — для более красивого вывода и разумных умолчаний. Оба под капотом вызывают dpkg. Для скриптов используй apt-get — формат вывода стабилен между релизами. Для интерактивной работы используй apt.

# Интерактивное использование — apt
sudo apt update
sudo apt install nginx
sudo apt remove nginx
sudo apt autoremove          # удалить пакеты, которые больше не нужны

# Скрипты — apt-get (стабильный, без цвета и индикаторов прогресса)
DEBIAN_FRONTEND=noninteractive apt-get install -y nginx

Ключевой флаг для автоматизации — DEBIAN_FRONTEND=noninteractive — он подавляет интерактивные запросы (часовой пояс, раскладка клавиатуры), которые завесят CI-пайплайн. -y автоматически подтверждает установку. Без обоих флагов в Dockerfile сборка зависнет в ожидании ответа человека, которого нет.

apt update и apt upgrade — две разные операции, никогда не путай их. apt update скачивает индекс пакетов (список того, что доступно и в каких версиях) из каждого настроенного репозитория. Он ничего не устанавливает и не обновляет. apt upgrade читает локальный индекс и устанавливает новые версии уже установленных пакетов.

# Шаг 1: обновить локальный индекс
sudo apt update

# Шаг 2: установить обновления (использует свежий индекс)
sudo apt upgrade

# Частая ошибка: запустить upgrade без предшествующего update
# Это устанавливает «новые» версии по УСТАРЕВШЕМУ индексу —
# ты можешь пропустить критические патчи безопасности, вышедшие
# после последнего apt update.

Запуск apt upgrade без предшествующего apt update — одна из самых распространённых ошибок безопасности на долго работающих серверах. Система выглядит «обновлённой», но на самом деле работает со списками пакетов месячной давности.

Источники репозиториев находятся в /etc/apt/sources.list и /etc/apt/sources.list.d/. Классический однострочный формат:

deb [signed-by=/usr/share/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu jammy stable

Поля: deb (бинарные пакеты; deb-src для исходников), необязательные [опции], URL, suite (например jammy), компонент (например main universe).

Новый формат deb822 находится в /etc/apt/sources.list.d/*.sources:

# /etc/apt/sources.list.d/docker.sources
Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: jammy
Components: stable
Signed-By: /usr/share/keyrings/docker.gpg
Enabled: yes

Формат deb822 читабельнее и проще отключается (Enabled: no) без удаления файла. Новые дистрибутивы (Debian 12+, Ubuntu 22.04+) предпочитают этот формат.

Репозитории должны быть подписаны. Неподписанные репозитории — это атака на цепочку поставок в ожидании своего часа. apt использует GPG для проверки того, что индекс пакетов и отдельные пакеты подписаны владельцем репозитория. Если ключ отсутствует или подпись не проходит, apt update отказывается доверять индексу:

# Ошибка при отсутствии ключа репозитория:
# W: GPG error: http://... Release: The following signatures
#    couldn't be verified because the public key is not available:
#    NO_PUBKEY 7EA0A9C3F273FCD8

# Добавить GPG-ключ правильным современным способом (не apt-key add — устарел)
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
  | sudo gpg --dearmor -o /usr/share/keyrings/docker.gpg

# Затем сослаться на него в записи источника через signed-by=
# deb [signed-by=/usr/share/keyrings/docker.gpg] https://...

apt-key add устарел, потому что добавлял ключи в глобальное доверенное хранилище, применявшееся ко ВСЕМ репозиториям. Скомпрометированный ключ одного репозитория мог подписывать пакеты для любого другого. Современный подход signed-by= ограничивает ключ одной записью репозитория.

Команды apt-cache позволяют запрашивать локальный индекс без установки. Разделение «поиск в индексе» и «установка» предотвращает классическую ошибку: устанавливать что-то только чтобы проверить, существует ли оно.

# Поиск пакетов по ключевому слову
apt-cache search nginx

# Показать версию, зависимости и описание
apt-cache show nginx

# Сравнить установленное с доступным
apt-cache policy nginx
# Вывод содержит:
#   Installed: 1.18.0-6ubuntu14.4
#   Candidate: 1.18.0-6ubuntu14.5  ← новая версия в индексе
#   Version table: ...

# Найти пакет, которому принадлежит команда
dpkg -S /usr/bin/nginx

apt-cache policy — самый быстрый способ проверить, нужен ли apt update: если candidate новее installed, индекс обновился, но ты ещё не выполнил upgrade.