11 月 16 日消息，Python軟件包存儲庫PyPI現(xiàn)已上線數(shù)字認證（Digital Attestations）功能，這項功能允許軟件包維護者在發(fā)布包時附加經(jīng)過身份驗證的數(shù)字簽章，以便于驗明正身。ZXB28資訊網(wǎng)——每日最新資訊28at.com

長期以來，PyPI 一直受到虛假軟件包困擾，大量黑客尋找已下架的合法PyPI包，重新注冊相同名稱并上傳帶有惡意木馬的新包，或直接新建名稱類似知名 PyPI包的山寨版本。ZXB28資訊網(wǎng)——每日最新資訊28at.com

而如今 PyPI 引入這套“數(shù)字認證”功能正是為了強化軟件供應鏈安全性，目前開發(fā)者可以在 PyPI 網(wǎng)站中找到入口，以便于驗證包文件數(shù)字認證信息。ZXB28資訊網(wǎng)——每日最新資訊28at.com

ZXB28資訊網(wǎng)——每日最新資訊28at.com

在技術(shù)層面上，這套“數(shù)字認證”技術(shù)基于OIDC（OpenID Connect）身份認證技術(shù)，能夠明確關聯(lián) PyPI 上的文件與其上游源代碼庫、工作流以及生成文件的提交記錄。每個發(fā)布的包都可被驗證來源，確保用戶和企業(yè)不會下載到黑客制造的虛假包文件。同時也不再依賴傳統(tǒng)的公私鑰對，從而根本上避免了密鑰丟失或被盜的風險。ZXB28資訊網(wǎng)——每日最新資訊28at.com

PyPI提到，符合條件的項目無需額外配置即可自動生成數(shù)字認證，例如軟件包維護者通過 GitHub Actions 發(fā)布項目，其生成的包便會自帶數(shù)字認證，無需額外配置。未來，PyPI 計劃將這一功能推廣至其他可信發(fā)布環(huán)境。ZXB28資訊網(wǎng)——每日最新資訊28at.com

本文鏈接：http://www.tebozhan.com/showinfo-119-123832-0.htmlPython 軟件包存儲庫 PyPI 上線“數(shù)字認證”功能：一鍵驗明真身、避免中招黑客山寨包

聲明：本網(wǎng)頁內(nèi)容旨在傳播知識，若有侵權(quán)等問題請及時與本網(wǎng)聯(lián)系，我們將在第一時間刪除處理。郵件：2376512515@qq.com

上一篇： Docker 專業(yè)版 團隊版今起漲價月費 9 美元起，個人版依然免費使用

下一篇： 微軟 Edge 131 瀏覽器穩(wěn)定版發(fā)布：改進側(cè)邊欄等