NUR 入門: Nixpkgs にないパッケージへ、コミュニティ駆動でアクセスする仕組み

Nixpkgs の穴を埋める、ユーザー発のパッケージ共有

Nixpkgs は膨大なパッケージを収録していますが、新しいソフトウェアが追加されるまでにはレビューやマージのプロセスを経る必要があり、時間がかかります。Nix User Repository（NUR）は、この「Nixpkgs にまだないパッケージ」をコミュニティが素早く共有するためのメタリポジトリです。2018 年に Mic92 氏によって開始され、現在は Pandapip1 氏がメンテナンスしています。NUR は Nixpkgs の代替ではなく、あくまで補完する存在です。Nixpkgs と異なり、パッケージはソースからビルドされ、Nixpkgs メンバーによるレビューは一切行われません。

仕組み: 各ユーザーのリポジトリを自動で評価・統合

NUR の中心的な仕組みは、各貢献者が自分のリポジトリを NUR に登録し、そのリポジトリが持つ `default.nix` を NUR が自動的に収集・評価するというものです。NUR は登録されたリポジトリのリストを自動的にチェックし、評価チェックを実行した上で、更新を伝播させます。このプロセスにより、ユーザーは `nur.repos.<ユーザー名>.<パッケージ名>` という属性パスで、あたかも Nixpkgs の一部であるかのようにパッケージを参照できます。実際のパッケージ定義は各ユーザーのリポジトリに存在するため、NUR 自体は「リポジトリの集合体」というメタ的な役割に徹しています。

導入方法: flake と packageOverrides の2つの道

NUR を利用する方法は主に2つあります。1つ目は flake を使う方法です。`flake.nix` の inputs に NUR を追加し、`inputs.nixpkgs.follows = "nixpkgs";` と指定します。これにより、NUR の `overlays.default` または `legacyPackages.<system>` を利用できます。2つ目は `packageOverrides` を使う方法です。`~/.config/nixpkgs/config.nix` または `/etc/nixos/configuration.nix` に `nixpkgs.config.packageOverrides` を設定し、`builtins.fetchTarball` で NUR を取得します。この方法は flake を使わない従来の Nix 環境で有効です。なお、`builtins.fetchTarball` に sha256 を指定しない場合、ダウンロードキャッシュはデフォルトで1時間しか保持されないため、ビルドのたびにインターネット接続が必要になります。長期的に利用するなら、コミットハッシュと sha256 を指定してピン留めすることをお勧めします。

パッケージの使用例: nix-shell、NixOS、Home Manager

パッケージの使用はシンプルです。例えば `nix-shell -p nur.repos.mic92.hello-nur` と実行すると、`hello` コマンドが利用可能になり、`Hello, NUR!` と出力されます。NixOS の `configuration.nix` では `environment.systemPackages` に `nur.repos.mic92.hello-nur` を追加するだけです。また、flake を使った devshell では、`nur.overlays.default` をオーバーレイとして追加し、`pkgs.nur.repos.mic92.hello-nur` を参照します。Home Manager との統合も可能で、flake を使う場合は `nur.repos.moredhel.modules.homeManager` を imports に追加し、`services.unison` などのモジュールを設定できます。flake を使わない場合は `nur-no-pkgs.repos.moredhel.homeModules` を imports に追加します。

パッケージの探し方と、自分で登録する方法

NUR に存在するパッケージを探すには、公式のパッケージ検索サイト（nur.nix-community.org）を利用するか、すべてのユーザーの Nix 式を統合した `nur-combined` リポジトリを GitHub で検索します。自分のリポジトリを NUR に追加するには、トップレベルに `default.nix` を含むリポジトリを作成し、NUR に登録します。テンプレートとして `nur-packages-template` が用意されており、ディレクトリ構造の準備に役立ちます。ただし、README には「w」で始まる例が途中で切れており、完全な登録手順は確認できませんでした。

重大な注意点: レビューなし、悪意のあるコードの可能性

NUR の最大の注意点は、セキュリティです。README には「NUR はリポジトリの悪意のあるコンテンツを定期的にチェックしておらず、インストール前に式を確認することを推奨する」と明記されています。これは、Nixpkgs の公式パッケージとは異なり、NUR のパッケージは Nixpkgs メンバーのレビューを受けていないためです。パッケージはソースからビルドされるため、`default.nix` 内で任意のコードが実行される可能性があります。特に、`builtins.fetchTarball` や `fetchurl` で取得するソースが変更されていないか、ビルドフェーズで不審なコマンドが実行されていないかを確認する必要があります。このリスクを理解した上で、NUR は「試す価値のある未レビューのパッケージ」へのアクセスを提供するものだと割り切るべきです。

Nixpkgs との比較、そして NUR が適さないケース

NUR の代替となるのは、やはり Nixpkgs 本体です。Nixpkgs は厳格なレビューとテストを経てパッケージが追加されるため、安定性と信頼性が高いです。一方、NUR はそのプロセスを省略し、スピードと柔軟性を優先します。したがって、ミッションクリティカルなシステムや、セキュリティ要件が厳しい環境では、NUR ではなく Nixpkgs のパッケージを使用し、どうしても NUR が必要な場合は、パッケージのソースコードを精査した上で、可能であれば自分でフォークしてメンテナンスする方が安全です。また、NUR はパッケージの更新が各ユーザーのリポジトリに依存するため、メンテナンスが滞るとパッケージが壊れたまま放置される可能性があります。

メンテナンスとライセンス: コミュニティ依存の持続可能性

NUR 自体は Python で書かれており、MIT ライセンスで公開されています。メンテナンスは現在 Pandapip1 氏が担当していますが、コミュニティ駆動のプロジェクトであるため、継続的な開発が保証されているわけではありません。NUR を利用する際は、依存するユーザーリポジトリのメンテナンス状況も確認する必要があります。リポジトリが更新されなくなると、Nixpkgs のバージョンアップに伴ってビルドが失敗する可能性があります。ライセンスに関しては、NUR 自体は MIT ですが、各ユーザーのパッケージはそれぞれ異なるライセンスを持つため、個別に確認が必要です。

編集部の結論

NUR は、Nixpkgs にまだ採用されていない新しいパッケージや、個人がメンテナンスするツールを試したい Nix ユーザーに向いています。一方、安定性やセキュリティが最優先される本番環境では、NUR の利用は慎重に検討すべきです。NUR を導入する前に、まず利用したいリポジトリの default.nix を読み、パッケージが何をビルドするのか、依存関係に不審な点がないかを確認してください。また、`builtins.fetchTarball` を使う場合は、sha256 を指定してバージョンを固定し、1時間ごとに変わるダウンロードキャッシュに依存しないようにしましょう。NUR は便利ですが、それは「レビューされていない」という事実と引き換えに得られる利便性です。

公式情報源

1. Official documentation
2. Official README
3. Project repository