PyPI 项目页改版：把「这个包从哪来」摆到台面上

📋 概述

PyPI 宣布七月许诺的界面改版全部上线：项目详情页新增独立的安全标签页，按发布文件是否带证明（attestation）给出「完整来源」或「无来源」两种状态，发布文件标签与发布历史也一并重建。证明分为两类，一类是 PyPI Publish，确认文件由 Trusted Publisher 发布；一类是 SLSA Build Provenance，把文件链回确切的源码 commit、构建平台与构建指令。官方称改版联合 Kabu Creative，按 OpenSSF 的证明风格指南实施，目的是应对 Python 生态膨胀后愈发频繁的恶意包投毒。