В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации

22.07.2026 21:56 (MSK)

Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней. Предполагается, что запрет позволит предотвратить внесение вредоносных изменений в уже опубликованные релизы в случае утечки токенов доступа или компрометации процессов публикации пакетов в PyPI.

Изначально подобное ограничение предлагалось реализовать в январе 2024 года, но оно не было утверждено из-за практикуемого некоторыми проектами добавления поддержки новых версий Python в уже опубликованные релизы (из 15 тысяч наиболее популярных пакетов подобные изменения спустя 14 дней после релиза вносили 56 проектов). Предложение было выставлено на обсуждение второй раз в марте этого года, после подмены релизов библиотек LiteLLM и Telnyx, насчитывающих 95 миллионов и 756 тысяч загрузок в месяц.

исправить +2 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/65958-pypi

Ключевые слова: pypi, python

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (12)

1.1, limafresh (ok), 22:06, 22/07/2026 [ответить] [﹢﹢﹢] [ · · · ]	–2 +/–
Не вижу сильной необходимости в этих репозиториях, когда можно сделать pip install git+https://github.com/name/project.git вместо публикации в PyPi. Разве что команда установки будет не такой лаконичной.

2.2, Аноним (2), 22:11, 22/07/2026 [^] [^^] [^^^] [ответить]	+/–
Паразитизм, донаты.

2.3, Аноним (3), 22:15, 22/07/2026 [^] [^^] [^^^] [ответить]	+/–
Распространители малвари будут довольны. Ты на чьей стороне воюешь?

3.4, limafresh (ok), 22:27, 22/07/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Вообще-то гошники так и делают, go get <ссылка>, у них если не ошибаюсь нет централизованного репозитория. А насчёт малвари - она везде, просто не надо устанавливать то чему не доверяешь.

4.6, Аноним (6), 23:41, 22/07/2026 [^] [^^] [^^^] [ответить]	+/–
Зачем вообще что-то устанавливать? Берёшь и пишешь всё сам.

4.9, Сладкая булочка (?), 00:34, 23/07/2026 [^] [^^] [^^^] [ответить]	+/–
А теперь расскажи как твои гошники распространяют бинарные пакеты? А никак, они всегда все собирают. Теперь пойди и собери numpy со всеми зависимостями типа blas. Удачи.

5.10, Аноним (-), 01:45, 23/07/2026 [^] [^^] [^^^] [ответить]	+/–
Так у go на выходе один статический файл который даже с libc не требует линковки. Запустится в любой системе без дополнительных зависимостей, контейнеров или виртуальных окружений.

6.11, Сладкая булочка (?), 02:03, 23/07/2026 [^] [^^] [^^^] [ответить]	+/–
Очевидно для питона это не подходит, люди не хотят собирать numpy и подобные либы.

1.5, Rodegast (ok), 23:10, 22/07/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
> запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней Разве можно в релиз что то загружать? Это вообще как?

2.7, Аноним (7), 23:41, 22/07/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Так это репозитарий пипи! Ты бы еще удивился почему NPM - завирусованная помойка...

1.8, Сладкая булочка (?), 00:32, 23/07/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
> Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы А что так можно было что-ли? Идиотизм. Ну сделал ошибку, подними патч версию. Релизы должны неизменяемы сразу.

2.12, жыжа (?), 03:08, 23/07/2026 [^] [^^] [^^^] [ответить]	+/–
На гитхабе вон только в прошлом году завезли immutable releases https://github.blog/changelog/2025-10-28-immutable-releases-are-now-generally- и то их надо включать самому

Добавить комментарий

Текст: