PyPI 现在拒绝向发布超过 14 天的版本上传新文件
来源：blog.pypi.org — 2026-07-22
📋 概述
Python 包索引 PyPI 开始实施新规则：发布超过 14 天的版本将拒绝新文件上传。此举旨在防止长期稳定的发布版被泄露凭证的攻击者投毒。此前 LiteLLM 和 Telnyx 等流行包因 CI 工作流中的可变引用被入侵，暴露了这一安全隐患。PyCon US 2026 包装峰会就此达成共识。
🔑 核心要点
- PyPI 现在拒绝超过 14 天的版本上传新文件，防止已稳定版本被投毒
- 触发因素：LiteLLM 和 Telnyx 因 CI 中的可变引用 被入侵，部分文件被替换为恶意包
- 15000 个顶级包中仅 56 个曾对 14 天以上的版本上传过cp314 wheel，影响面很小
- PyCon US 2026 包装峰会共识：要求用户升级版本号来支持新 Python 版本是可接受的
💡 金句
此前没有技术原因阻止攻击者这么做——只是他们还不知道有这个可能。现在我们关上了这扇门。
👍 0👎 0
← 返回 Lobsters 首页