dpkg-source -X 仅适用于解压 .dsc 及配套源码归档（如 .orig.tar.xz 和 .debian.tar.xz），不可用于 .deb 二进制包；.deb 是 ar 归档，不含上游源码，仅含 control、data 等二进制安装内容。
dpkg-source -X 不能用于解压 .deb 二进制包，它专用于处理 .dsc + orig.tar.* + debian/ 补丁组成的 Debian源码包（source package），而非用户下载的 .deb 安装包。你提到的“离线解压 DEB 标准源码架构”存在概念混淆——.deb 是已编译的二进制软件包，不含上游源码；而真正包含可修改源码的，是 .dsc（Debian Source Control）文件及其配套归档。
所以，要完成“离线解压、审查并修复不符合国产化合规的底层源码”，需分清两个完全不同的对象：
? 一、确认你手头的是什么包？
- ✅ 如果你有类似
package_1.2.3-4.dsc、package_1.2.3.orig.tar.gz、package_1.2.3-4.debian.tar.xz的一组文件 → 这是Debian 源码包，可用dpkg-source -X正确展开。 - ❌ 如果你只有
package_1.2.3-4_amd64.deb或package_1.2.3-4_all.deb→ 这是二进制包，不带源码，dpkg-source -X会报错：dpkg-source: error: can't find a .dsc file
⚠️ 常见误解：
.deb≠ 源码包。它本质是ar归档，内含control.tar.xz（元数据）、data.tar.xz（安装文件）、debian-binary（版本标识），没有 C/C++/Rust 源代码。
? 二、正确获取并解压 Debian 源码包（用于国产化改造）
1. 离线前提：在联网环境相同发行版机器上提前下载源码包
# 以 Ubuntu 22.04 为例，获取 nginx 源码包（含所有组件） apt-get source nginx # 或指定下载不构建（更轻量） apt-get -d source nginx
执行后生成：
nginx_1.18.0-6ubuntu14.5.dsc nginx_1.18.0.orig.tar.gz nginx_1.18.0-6ubuntu14.5.debian.tar.xz
2. 离线解压源码树（标准 Debian 源码结构）
dpkg-source -x nginx_1.18.0-6ubuntu14.5.dsc
→ 自动解出 nginx-1.18.0/ 目录，结构为：
nginx-1.18.0/ ├── debian/ # Debian 构建规则、控制脚本、补丁管理 ├── src/ # 上游原始源码（C 文件、Makefile 等） ├── configure # 自动生成的配置脚本（或 autogen.sh） └── ...
✅ 此时你才拥有完整可审计、可修改的源码架构，适合开展国产化适配（如替换 OpenSSL 为国密 SM2/SM4、移除非自主依赖、适配龙芯/鲲鹏指令集等）。
? 三、手动修复与国产化改造关键点
修改前建议备份并记录变更：
cd nginx-1.18.0 git init && git add . && git commit -m "initial upstream import"
常见国产化合规动作示例：
-
替换加密库：修改
debian/rules或configure脚本，将--with-openssl改为指向gmssl或OpenSSL-SM构建路径 -
屏蔽非信创组件：删除
debian/control中Recommends:字段里的非自主软件（如libcurl4-openssl-dev→ 改为libcurl4-gnutls-dev或自研替代） -
打补丁适配 CPU 架构：把龙芯 LoongArch 补丁放入
debian/patches/，并在debian/patches/series中启用 -
签名与审计：用国密 SM2 私钥对
debian/下的changelog、copyright签名（需定制dpkg-genchanges流程）
重新打包为合规源码包（供内部复用）：
# 修改后更新 debian/changelog（必须！否则 dpkg-buildpackage 拒绝） dch -i "add SM2 support and remove openssl dependency" # 重新生成源码包（含新 .dsc 和 .debian.tar.xz） dpkg-buildpackage -S -us -uc
输出：nginx_1.18.0-6ubuntu14.5+sm2-1.dscnginx_1.18.0.orig.tar.gznginx_1.18.0-6ubuntu14.5+sm2-1.debian.tar.xz
? 四、如果你只有 .deb 文件，但又必须追溯源码？
可尝试反向定位其源码来源：
# 从 .deb 提取 control 信息 dpkg-deb -f your-package.deb | grep -E "Source|Version" # 示例输出： # Source: openssl # Version: 3.0.2-0ubuntu1.10 # 再用该 Source 名 + Version 去对应发行版 archive 查源码包地址 # 如 Ubuntu: https://archive.ubuntu.com/ubuntu/pool/main/o/openssl/ # 手动下载对应 .dsc + orig.tar.gz + debian.tar.xz 组合
✅ 这是离线环境中最可行的溯源方式：不依赖网络下载，仅靠 deb 元数据人工匹配官方归档地址，预下载源码包组。
不复杂但容易忽略：.deb 是交付物，.dsc 才是改造起点。国产化改造必须落在源码层，而非二进制层。
