TAG

#PyPI

3 篇文章

TechLab 所有關於「PyPI」嘅文章、評測同教學，由最新排起。

GitHub 擴闊 Dependabot 嘅惡意套件資料來源，Python 專案而家都可收到 PyPI 套件警示。不過功能要自行開啟，收到通知亦要先核對套件來源，再移除依賴、重建環境同檢查憑證有冇外洩。

PyPI 收緊套件發布規則，release 建立超過 14 日後，維護者唔可以再補 wheel、source distribution 或其他檔案。改動會影響延遲支援新版 Python 同新平台嘅項目，亦堵住憑證失守後向穩定舊版加惡意檔案嘅缺口。

PyPI 而家會拒絕向推出超過 14 日嘅套件版本加入新檔案，堵住攻擊者利用外洩 token 污染舊版嘅可能。新限制亦會改變 maintainer 補 wheel、支援新版 Python 同設計 CI 發佈流程嘅做法。