Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации"	+/–
Сообщение от opennews (ok), 22-Июл-26, 22:06
Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней. Предполагается, что запрет позволит предотвратить внесение вредоносных изменений в уже опубликованные релизы в случае утечки токенов доступа или компрометации процессов публикации пакетов в PyPI... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=65958
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от limafresh (ok), 22-Июл-26, 22:06	–11 +/–
Не вижу сильной необходимости в этих репозиториях, когда можно сделать pip install git+https://github.com/name/project.git вместо публикации в PyPi. Разве что команда установки будет не такой лаконичной.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #3, #16

2. Сообщение от Аноним (2), 22-Июл-26, 22:11	+/–
Паразитизм, донаты.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

3. Сообщение от Аноним (3), 22-Июл-26, 22:15	+5 +/–
Распространители малвари будут довольны. Ты на чьей стороне воюешь?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4

4. Сообщение от limafresh (ok), 22-Июл-26, 22:27	–4 +/–
Вообще-то гошники так и делают, go get <ссылка>, у них если не ошибаюсь нет централизованного репозитория. А насчёт малвари - она везде, просто не надо устанавливать то чему не доверяешь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #6, #9

5. Сообщение от Rodegast (ok), 22-Июл-26, 23:10	+7 +/–
> запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней Разве можно в релиз что то загружать? Это вообще как?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7

6. Сообщение от Аноним (6), 22-Июл-26, 23:41	+/–
Зачем вообще что-то устанавливать? Берёшь и пишешь всё сам.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

7. Сообщение от Аноним (7), 22-Июл-26, 23:41	–4 +/–
Так это репозитарий пипи! Ты бы еще удивился почему NPM - завирусованная помойка...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #13

8. Сообщение от Сладкая булочка (?), 23-Июл-26, 00:32	+10 +/–
> Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы А что так можно было что-ли? Идиотизм. Ну сделал ошибку, подними патч версию. Релизы должны неизменяемы сразу.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #15, #23, #40

9. Сообщение от Сладкая булочка (?), 23-Июл-26, 00:34	+1 +/–
А теперь расскажи как твои гошники распространяют бинарные пакеты? А никак, они всегда все собирают. Теперь пойди и собери numpy со всеми зависимостями типа blas. Удачи.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #10

10. Сообщение от Аноним (-), 23-Июл-26, 01:45	+1 +/–
Так у go на выходе один статический файл который даже с libc не требует линковки. Запустится в любой системе без дополнительных зависимостей, контейнеров или виртуальных окружений.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #11

11. Сообщение от Сладкая булочка (?), 23-Июл-26, 02:03	+1 +/–
Очевидно для питона это не подходит, люди не хотят собирать numpy и подобные либы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #20

12. Сообщение от жыжа (?), 23-Июл-26, 03:08	+/–
На гитхабе вон только в прошлом году завезли immutable releases https://github.blog/changelog/2025-10-28-immutable-releases-.../, и то их надо включать самому
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

13. Сообщение от Смузихеб забывший пароль (?), 23-Июл-26, 03:37	+/–
любой достаточно популярный репозиторий может содержать сомнительные проекты
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #17

14. Сообщение от Джон Титор (ok), 23-Июл-26, 05:11	+/–
Мне кажется 14 дней многовато. Достаточно недели.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26

15. Сообщение от Джон Титор (ok), 23-Июл-26, 05:13	+/–
Во многих репозиториях так возможно. Исправлять. Но в некоторых ради безопасности убрали возможность исправлять, зато там можно удалять и публиковать с той же версией.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

16. Сообщение от test (??), 23-Июл-26, 08:10	+/–
> . Разве что команда установки будет не такой лаконичной. Оно может потребовать затащить в дистрибут gcc и кучу либ для этого. с pypi можно поставить уже готовый бин.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #18, #19

17. Сообщение от Аноним (17), 23-Июл-26, 08:46	+3 +/–
* должен содержать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

18. Сообщение от limafresh (ok), 23-Июл-26, 08:53	+/–
А, ну да. Чего-то не подумал про это. Но для пакетов на чистом Пайтон сойдёт.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

19. Сообщение от Аноним (3), 23-Июл-26, 09:02	+2 +/–
Гцц это ладно, раст требует. И сборка обламывается регулярно. Сам питон вообще не компилируется гцц больше как посмотрю, никогда раньше не приходилось его шлангом собирать. Особенно успехов из исходников собирать numpy scipy cupy spacy thinc (и чтобы потом ещё работало).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #52

20. Сообщение от нах. (?), 23-Июл-26, 10:23	+1 +/–
а потом ой, питоновый скрипт (ПИТОНОВЫЙ, блжд, СКРИПТ) запускается только и исключительно на Rhel 9.0 Потому что не хотят собирать, и механизма-то такого не предусмотрено, а оно, вот. Совместимо с единственноверной версией пихона и единственноверной версией библиотеки, способной работать только в этой вот системе. А, ну и еще - в венде конечно. Из которой и пришли к нам в основном любители лефтпадов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #22, #24, #39

21. Сообщение от Аноним (21), 23-Июл-26, 10:56	+/–
Как вариант, можно публиковать минорные релизы для старых версий библиотек. Как с ядром 4.4.222 или типа того.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

22. Сообщение от Аноним (3), 23-Июл-26, 13:52	–1 +/–
Ну, скажем прямо, это не про питон. Судя по написанному, ты никогда его не видел, как оно там на венде? Дай угадаю, у тебя сложности с запуском скрипта под 2 питон, как у типичного пользователя венды, а как пользоваться pip ты не знаешь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #28

23. Сообщение от Жертва (?), 23-Июл-26, 15:55	+/–
Релиз содержит не только исходники, но и бинарники для разных платформ, версий glibc, musl.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #35

24. Сообщение от Аноним (24), 23-Июл-26, 16:11	+/–
ну а чего мы хотим питон был создан для исследований, а не для этих ваших ебашим в прод, но так получилось что оказалось проще дружиться с впихуингом питона в прод чем переписыватьна что-то более продоориентированное. смиритесь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #25

25. Сообщение от нах. (?), 23-Июл-26, 18:01	+/–
> но так получилось что оказалось проще дружиться с впихуингом питона в прод Кстати, ыы почему-то выбирает его если не указать явно другой вариант. Причем не за мильен лефтпадов (т.е. ыы знает что лефтпады плохо).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

26. Сообщение от нах. (?), 23-Июл-26, 18:44	+/–
> Мне кажется 14 дней многовато. Достаточно недели. в твиттере прямсразу нельзя без галочки - и ничего, мир не рушится. Нахрена вообще подменять релизы?!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #33

27. Сообщение от нах. (?), 23-Июл-26, 18:44	+/–
> Как вариант, можно публиковать минорные релизы для старых версий библиотек. Как с > ядром 4.4.222 или типа того. у лефтпадов нет минорных релизов. Таков путь!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #37

28. Сообщение от нах. (?), 23-Июл-26, 18:50	–1 +/–
> Ну, скажем прямо, это не про питон. это про питон. > Судя по написанному, ты никогда его не видел, как оно там на венде? Судя по тобой написанному - ты безграмотный самоуверенный неуч. на венде питон прекрасно работает (и, кстати, тот скрипт тоже - автор, подозреваю, и не в курсе проблемы у л@п4@тых в их шта6ильных нонсенсах). Кстати, великодушный пожизненный диктатор успешно трудоустроился - в Microsoft. > Дай угадаю, у не угадал.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #29

29. Сообщение от Аноним (3), 23-Июл-26, 19:20	–2 +/–
Ну вот, опять порешь чушь. Не пори чушь -- ей больно. Единственное, у чего есть проблемы совместимости, это компилируемый хлам вроде васянской обёртки cld3 -- привязываться к приватным кишкам интерпретатора это не корректный путь это делать и никогда им не был.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #31

30. Сообщение от RM (ok), 23-Июл-26, 19:42	+/–
А хакиры такие: Ничего, потерпим 14 дней, а потом доставку законвейерезируем и дальше будем релизить каждый день.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34

31. Сообщение от нах. (?), 23-Июл-26, 20:01	–1 +/–
врунишка. (ну или точнее - врет потому что искренне верует что у его лефтпадов нет проблем - значит ни у кого нет проблем) > Единственное, у чего есть проблемы совместимости опять ты не угадал, да што ш ты будешь делать. Может уже свалишь нахрен? Твоя экспертиза уровня детсада не стоит времени тебе отвечать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #32

32. Сообщение от Аноним (3), 23-Июл-26, 20:43	–1 +/–
Ты сейчас конечно же обоснуешь и приведёшь примеры, и конечно же я пойду и обнаружу что твои слова были правдой, а не типичным балабольством. Всё так и будет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

33. Сообщение от Джон Титор (ok), 23-Июл-26, 21:11	+/–
>> Мне кажется 14 дней многовато. Достаточно недели. > в твиттере прямсразу нельзя без галочки - и ничего, мир не рушится. > Нахрена вообще подменять релизы?! Бывает что обнаруживаешь проблемы сразу после публикации или при первой публикации. Нормально конечно делать альфа-бета релизы или делать патч. Но как правило в таких мелочах на некоторых проектах просто удаляют такой релиз и делают новый с той же версией. Я не знаю точно зачем, но предполагаю что из-за ожидания пользователей, из-за конкуренции. Если вы выпустите патч , да это верно, только кто-то срач может поднять про ту версию где проблема.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #36

34. Сообщение от RM (ok), 23-Июл-26, 21:46	+/–
млин, не дочитался, предыдущий коммент мимо
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

35. Сообщение от Сладкая булочка (?), 23-Июл-26, 21:50	+/–
> Релиз содержит не только исходники, но и бинарники для разных платформ, версий > glibc, musl. И что это меняет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

36. Сообщение от нах. (?), 24-Июл-26, 00:36	+/–
> Бывает что обнаруживаешь проблемы сразу после публикации или при первой публикации. ну была версия 14.201, будет 14.201.01 (или сразу 14.202) инвесторы любят большие числа, в этом-то проблемы нет. А тут похоже на заметание крошек под ковер, быстро стертое опубликованным не считается.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #41, #50

37. Сообщение от Аноним (37), 24-Июл-26, 02:23	+/–
у тебя и лефтпадов нет, ничего нет, кроме брюзжания старой бабки
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

38. Сообщение от APh (?), 24-Июл-26, 15:54	+/–
Хм-м-м... А, зачем вообще изменять релизы?!! o_O Если сделал новую модификацию кода, поддерживающую другую версию среды исполнения, сделай новый минорный релиз! Или что такое тогда "релиз" вообще?!!!!!!!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45

39. Сообщение от Аноним (39), 24-Июл-26, 18:42	+/–
> Потому что не хотят собирать, и механизма-то такого не предусмотрено Да всё там предусмотрено, не надо грязи. Но собирать на каждом запуске CI/CD пока джун не отутюжит свой слоп можно на инстансах разориться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

40. Сообщение от Аноним (39), 24-Июл-26, 18:45	+/–
Поднял патч версию, а старая с RCE осталась и кто-то ей обязательно будет пользоваться. Как быть? Удалить совмем — плохо, ломаешь другим людям процесс. Оставить — тоже плохо, ломают софт других людей. Только править задним числом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #46, #49

41. Сообщение от Аноним (39), 24-Июл-26, 18:47	+/–
> быстро стертое опубликованным не считается Скажи ещё что у тебя там никто никогда не ошибался и не коммитил ключи в main.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #44, #51

44. Сообщение от нах. (?), 24-Июл-26, 19:07	+/–
то есть как ошибался?! А где еще они эти ключи хранить должны были?! Проблема что если кто такой "релиз" уже скачал - ключи у него уже есть. (более того, даже если он об этом еще не узнал - pypi не будет качать заново ту же самую версию и рано или поздно - найдет. А если версию бампнуть - радостно скачает и никто не узнает ничего, дыра - в безопастносте.)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

45. Сообщение от нах. (?), 24-Июл-26, 19:11	+/–
> Хм-м-м... А, зачем вообще изменять релизы?!! o_O там выше другой аноним выдал вполне правдоподобную идею - иногда в релиз такого можно релизнуть, что лучше б этого никто не видел. У питонистов должно быть прям регулярно (я в силу специфики не видел, но в пехепе именно такое всегда и везде) другое дело что вообще-то уже ж увидели...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #47

46. Сообщение от Аноним (46), 24-Июл-26, 19:38	+/–
Именно так, удалить старый релиз совсем. Наличие бага вполне оправдывает, что у кого-то там "процесс" сломается. (Кому очень надо имеют локальные репозитории для зависимостей)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

47. Сообщение от Аноним (46), 24-Июл-26, 19:41	+/–
Если релизнул - уже всё, улетело.. Дальше релиз только удалять. А если какие-то ключи улетели - то в любом случае, уже скомпрометированы, под замену.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #48

48. Сообщение от нах. (?), 24-Июл-26, 23:12	+/–
> Если релизнул - уже всё, улетело.. Дальше релиз только удалять. "авыдокажити!" вот же тот же самый (хаха) релиз и нет там никаких ключей! > А если какие-то ключи улетели - то в любом случае, уже скомпрометированы, под > замену. ну нет, так мы можем поссориться с заказчиком. (ага, а ты думал они только свои ключи туда комитят?!)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

49. Сообщение от Сладкая булочка (?), 25-Июл-26, 00:22	+/–
> Поднял патч версию, а старая с RCE осталась и кто-то ей обязательно > будет пользоваться. Как быть? Удалить совмем — плохо, ломаешь другим людям > процесс. Оставить — тоже плохо, ломают софт других людей. Только править > задним числом. Это не ответственность того, кто выпускает версии. Пользователи должны отслеживать новые версии сами. Может RCE не проявляется в их кейсе?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

50. Сообщение от Джон Титор (ok), 25-Июл-26, 01:11    Скрыто ботом-модератором	+1 +/–
>> Бывает что обнаруживаешь проблемы сразу после публикации или при первой публикации. > ну была версия 14.201, будет 14.201.01 (или сразу 14.202) > инвесторы любят большие числа, в этом-то проблемы нет. А тут похоже на > заметание крошек под ковер, быстро стертое опубликованным не считается. А 14.201 удаляешь и это мне кажется верным решением. Не нужно позволять ту же версию скачивать если кто-то мог скачать что-то не то. Тем более нынче многие автоматизируют такие вещи и могут это сделать весьма быстро. Особенно если ИИ прочитает слово типа уязвимость или фикс чего-то критического.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

51. Сообщение от Джон Титор (ok), 28-Июл-26, 03:15	+/–
>> быстро стертое опубликованным не считается > Скажи ещё что у тебя там никто никогда не ошибался и не > коммитил ключи в main. Ребят, а ведь есть же теги. Сейчас многие проекты не привязываются к комиту, а к тегу. А его в свою очередь можно переставлять. И при перестановки получается что опубликованный пакет в репозитории может быть не верным. Допустим какой-нибудь Trivy не запустился из-за того что там версия уже новая, а на старой работать не хочет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

52. Сообщение от Аноним (52), 30-Июл-26, 14:38	+/–
не, ну в guix осилили же
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #53

53. Сообщение от Аноним (3), 30-Июл-26, 15:27	+/–
Там без харденед, лто и прочих оптимизаций наверно. И это может проблемы создавать совершенно любая из зависимостей или частей тулчейна. Это вообще сложно отлаживать, когда у тебя пакеты собираются разными флагами компилятора (а это всегда так) и тем более нет воспроизводимых сборок.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема