标签
最新版 uv 现在支持直接从 uv 锁文件安装，无需 pyproject.toml，从而实现更高效的 Docker/CI 层缓存，因为依赖层不再因 pyproject.toml 的变更而失效。
介绍 Toolpak，一个旨在解决基于镜像操作系统中开发者工具和依赖管理缺口的工具，并与现有方法如 Flatpak 和 Toolbox 进行比较。
DSPy 3.4 的发布候选版已宣布，从 litellm 迁移以提升导入速度并减少依赖。
文章主张，长时间运行的开发代理应该是事件驱动的，以通过像EigenFlux这样的广播从意外来源检测有用的变化，而不是每天轮询仓库，并强调在行动前验证来源。
GitHub 的 Dependabot 现在对非安全版本更新实施三天的冷却期，让安全扫描器有时间检测被污染的版本发布，从而帮助缓解供应链攻击。
sqlite-utils 4.2.1 修复了一个由未列出的 typing-extensions 依赖项导致的崩溃错误，并添加了一个冒烟测试，以验证 CLI 在没有开发依赖的情况下也能正常工作。
一篇博客文章，提出了改进 Cargo 的愿景，涵盖依赖管理、构建性能、适应性和维护等工作流程，并邀请社区提供意见。
Google Devs 宣布了一项新的开发者挑战，聚焦于一个棘手的依赖版本冲突场景，涉及三个包共享一个依赖。
Richard Feldman 通过对比不同编程语言网站和游戏的依赖图，指出大部分依赖选择是文化规范而非技术必要性。
GitHub 的 Dependabot 现在默认在开启版本更新拉取请求之前有一个三天的冷却期，无需配置。
本文探讨了不同的包管理策略和工具如何反映组织沟通结构，通过单体仓库（monorepos）、工作区（workspaces）、Bazel、Nix、Docker等工具阐述了康威定律。
作者认为，直接从 VCS（如 Go 语言的做法）获取依赖比使用带有发布步骤的包注册中心（如 Ruby、npm、PyPI）更安全且更易于审计。
Collider 1.3.0 为仓库索引添加了路径遍历保护，并在跨域重定向时移除 Bearer 令牌，以防止安全漏洞。
Cross Repo Review 是一个工具，用于映射仓库间的依赖关系，并在 PR 上展示下游影响、破坏性变更和影响范围，同时追踪代码、服务、数据和管道依赖。
Google Devs 呈现了一个 CI 流水线挑战：一次依赖变更让构建速度更快，却导致生产环境故障，引发了一个调试难题。
一篇博文，主张包管理器应支持全局钩子，作为当前包安全措施（如注册表或shell包装器）的更安全、更灵活的替代方案。
ty-pre-commit 是一个新工具，通过自动使用 uv 安装依赖项，简化了类型检查器的预提交钩子。
Bundler 4.0.13 引入了一项冷却功能，阻止解析发布不足 N 天的 gem，以缓解供应链攻击。该功能为可选加入，并可根据不同源、设置或命令行标志进行配置。