PyPI 新版项目页上线：安全信号摆到台面上
来源：blog.pypi.org — 2026-11-06
📋 概述
PyPI 七月预告的界面改版已全部上线，核心是把「这个包的文件从哪来」讲清楚。新版为项目页加了独立的安全标签页，重建了发布文件与发布历史页面，并刷新了文档。背景是 Python 生态扩张后 PyPI 成了恶意包的重点目标，2024 年推出的数字证明（attestation）虽然提供了可验证的来源记录，但界面几乎没解释它意味着什么。
🔑 核心要点
安全标签页展示每个发布文件的证明与来源状态，给出专门核验入口。 来源状态分档，最常见的是「完全溯源」：100% 的发布文件都带证明。 支持 PyPI Publish 证明（确认由可信发布者上传）与 SLSA Build Provenance 两类。 改版依据 OpenSSF Attestations Style Guide 的建议，由 Kabu Creative 参与设计。
💡 金句
PyPI now makes it simple to check where release files come from, with a dedicated security tab, a rebuilt release files tab, and refreshed documentation.
👍 0
❤️ 点赞
👎 0
沉底
← 返回 Hacker News 首页