Библиотека питониста | Python, Django, Flask

🐍PyPI стал поддерживать новую систему проверки подлинности пакетов

Это так называемые цифровые аттестации. Они представляют собой подписи, которые разработчики могут прикреплять к своим пакетам на PyPI. Аттестации служат для подтверждения:
🔘Источника пакета (например, что он был опубликован из определённого репозитория на GitHub).
🔘Того, что файл, опубликованный на PyPI, действительно соответствует исходному коду (вплоть до конкретного коммита).

▶️Чем цифровые аттестации лучше старой системы PGP?
🔘Аттестации подписываются через OpenID Connect (OIDC), что связывает их с учётной записью разработчика или организации. PGP использует публичные и приватные ключи, которые можно потерять или скомпрометировать.
🔘Аттестации включают данные о репозитории.
🔘PyPI не примет пакет с неподтверждённой аттестацией. Многие PGP-подписи в прошлом нельзя было проверить, из-за чего они становились бесполезными.

🔗 Читать блогпост PyPI

Please open Telegram to view this post

VIEW IN TELEGRAM

👍17🔥4😁4

www.tgoop.com/pyproglib/6032

5.41K viewsNov 15, 2024 at 07:35

🐍PyPI стал поддерживать новую систему проверки подлинности пакетов

Это так называемые цифровые аттестации. Они представляют собой подписи, которые разработчики могут прикреплять к своим пакетам на PyPI. Аттестации служат для подтверждения:
🔘Источника пакета (например, что он был опубликован из определённого репозитория на GitHub).
🔘Того, что файл, опубликованный на PyPI, действительно соответствует исходному коду (вплоть до конкретного коммита).

▶️Чем цифровые аттестации лучше старой системы PGP?
🔘Аттестации подписываются через OpenID Connect (OIDC), что связывает их с учётной записью разработчика или организации. PGP использует публичные и приватные ключи, которые можно потерять или скомпрометировать.
🔘Аттестации включают данные о репозитории.
🔘PyPI не примет пакет с неподтверждённой аттестацией. Многие PGP-подписи в прошлом нельзя было проверить, из-за чего они становились бесполезными.

🔗 Читать блогпост PyPI