引用Seth Larson

Simon Willison's Blog 新闻
python pypi security package-management software-supply-chain

摘要

PyPI现在拒绝向超过14天的发布版本上传新文件，以防止供应链攻击，这是由Seth Larson宣布的一项主动安全措施。

暂无内容
查看原文
查看缓存全文

缓存时间: 2026/07/24 05:15

# 塞斯·拉森的引述 来源：https://simonwillison.net/2026/Jul/23/seth-larson/ 2026年7月23日 > Python 包索引（PyPI）现已拒绝向超过 14 天的旧版本上传新文件。这一限制措施（https://github.com/pypi/warehouse/pull/19727）旨在防止因 PyPI 项目的发布令牌或工作流遭泄露而导致长期稳定的旧版本被污染。据我们所知，此漏洞尚未被滥用，但除了攻击者尚未意识到其存在之外，并无其他技术上的防御原因。 ——塞斯·拉森（https://blog.pypi.org/posts/2026-07-22-releases-now-reject-new-files-after-14-days/），PyPI 博客

相似文章

PyPI 发布版本现在在14天后拒绝新文件上传

Lobsters Hottest

PyPI 现在拒绝向超过14天的发布版本上传新文件，这是一项安全措施，旨在防止通过篡改旧版本来实施的供应链攻击。这一变化是由 LiteLLM 和 Telnyx 遭入侵等事件推动的。