引用Seth Larson
Quoting Seth Larson
摘要
Python Package Index（PyPI）现已实施新规则，拒绝向发布超过14天的旧版本上传新文件。该限制由Seth Larson在PyPI博客中宣布，旨在防止项目发布令牌或工作流被攻破后，攻击者对长期稳定的旧版本进行投毒。目前尚未发现此类滥用行为，但官方认为除攻击者尚未意识到此可能性外，并无技术障碍阻止其发生。
Python Package Index (PyPI) 现已拒绝向超过 14 天的旧版本上传新文件。这一限制旨在防止 PyPI 项目的发布令牌或工作流被攻破后，旧且长期稳定的版本被投毒。据我们所知，目前尚未出现此类滥用行为，但除了攻击者尚未意识到这种可能性外，并无其他技术原因阻止其发生。— Seth Larson，PyPI 博客 标签：packaging、python、supply-chain、pypi、seth-michael-larson
译自 Simon Willison · 博客 · 录于 二〇二六年七月二十三日