Профиль: Аноним (вход | регистрация) неRU opennet.me  
The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации

22.07.2026 21:56 (MSK)

Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней. Предполагается, что запрет позволит предотвратить внесение вредоносных изменений в уже опубликованные релизы в случае утечки токенов доступа или компрометации процессов публикации пакетов в PyPI.

Изначально подобное ограничение предлагалось реализовать в январе 2024 года, но оно не было утверждено из-за практикуемого некоторыми проектами добавления поддержки новых версий Python в уже опубликованные релизы (из 15 тысяч наиболее популярных пакетов подобные изменения спустя 14 дней после релиза вносили 56 проектов). Предложение было выставлено на обсуждение второй раз в марте этого года, после подмены релизов библиотек LiteLLM и Telnyx, насчитывающих 95 миллионов и 756 тысяч загрузок в месяц.

  1. Главная ссылка к новости (https://blog.pypi.org/posts/20...)
  2. OpenNews: В PyPI введено подтверждение смены устройства, с которого осуществляется вход
  3. OpenNews: В репозитории PyPI реализована блокировка email с освобождёнными доменами
  4. OpenNews: Перехвачены 4 учётные записи в PyPI и выпущены вредоносные релизы num2words
  5. OpenNews: Фишинг-атака на сопровождающих Python-пакеты в репозитории PyPI
  6. OpenNews: Инциденты с безопасностью в репозиториях PyPI и crates.io
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65958-pypi
Ключевые слова: pypi, python
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (20) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, limafresh (ok), 22:06, 22/07/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –5 +/
    Не вижу сильной необходимости в этих репозиториях, когда можно сделать pip install git+https://github.com/name/project.git вместо публикации в PyPi. Разве что команда установки будет не такой лаконичной.
     
     
  • 2.2, Аноним (2), 22:11, 22/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Паразитизм, донаты.
     
  • 2.3, Аноним (3), 22:15, 22/07/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Распространители малвари будут довольны. Ты на чьей стороне воюешь?
     
     
  • 3.4, limafresh (ok), 22:27, 22/07/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Вообще-то гошники так и делают, go get <ссылка>, у них если не ошибаюсь нет централизованного репозитория. А насчёт малвари - она везде, просто не надо устанавливать то чему не доверяешь.
     
     
  • 4.6, Аноним (6), 23:41, 22/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Зачем вообще что-то устанавливать? Берёшь и пишешь всё сам.
     
  • 4.9, Сладкая булочка (?), 00:34, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А теперь расскажи как твои гошники распространяют бинарные пакеты? А никак, они всегда все собирают. Теперь пойди и собери numpy со всеми зависимостями типа blas. Удачи.
     
     
  • 5.10, Аноним (-), 01:45, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Так у go на выходе один статический файл который даже с libc не требует линковки. Запустится в любой системе без дополнительных зависимостей, контейнеров или виртуальных окружений.
     
     
  • 6.11, Сладкая булочка (?), 02:03, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Очевидно для питона это не подходит, люди не хотят собирать numpy и подобные либы.
     
     
  • 7.20, нах. (?), 10:23, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    а потом ой, питоновый скрипт (ПИТОНОВЫЙ, блжд, СКРИПТ) запускается только и исключительно на Rhel 9.0
    Потому что не хотят собирать, и механизма-то такого не предусмотрено, а оно, вот. Совместимо с единственноверной версией пихона и единственноверной версией библиотеки, способной работать только в этой вот системе.

    А, ну и еще - в венде конечно.

    Из которой и пришли к нам в основном любители лефтпадов.

     
  • 2.16, test (??), 08:10, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > . Разве что команда установки будет не такой лаконичной.

    Оно может потребовать затащить в дистрибут gcc и кучу либ для этого.

    с pypi можно поставить уже готовый бин.

     
     
  • 3.18, limafresh (ok), 08:53, 23/07/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 3.19, Аноним (3), 09:02, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Гцц это ладно, раст требует. И сборка обламывается регулярно. Сам питон вообще не компилируется гцц больше как посмотрю, никогда раньше не приходилось его шлангом собирать. Особенно успехов из исходников собирать numpy scipy cupy spacy thinc (и чтобы потом ещё работало).
     

  • 1.5, Rodegast (ok), 23:10, 22/07/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней

    Разве можно в релиз что то загружать? Это вообще как?

     
     
  • 2.7, Аноним (7), 23:41, 22/07/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Так это репозитарий пипи!
    Ты бы еще удивился почему NPM - завирусованная помойка...
     
     
  • 3.13, Смузихеб забывший пароль (?), 03:37, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    любой достаточно популярный репозиторий может содержать сомнительные проекты
     
     
  • 4.17, Аноним (17), 08:46, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    * должен содержать
     

  • 1.8, Сладкая булочка (?), 00:32, 23/07/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    > Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы

    А что так можно было что-ли? Идиотизм. Ну сделал ошибку, подними патч версию. Релизы должны неизменяемы сразу.

     
     
  • 2.12, жыжа (?), 03:08, 23/07/2026 [^] [^^] [^^^] [ответить]  
  • +/
    На гитхабе вон только в прошлом году завезли immutable releases https://github.blog/changelog/2025-10-28-immutable-releases-are-now-generally- и то их надо включать самому
     
  • 2.15, Джон Титор (ok), 05:13, 23/07/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     

  • 1.14, Джон Титор (ok), 05:11, 23/07/2026 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +/
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру