jazzband/pip-tools

Research ways to support verifying the PEP 740 digital attestations early

Open

#2.080 geöffnet am 26. Apr. 2024

Auf GitHub ansehen
 (3 Kommentare) (0 Reaktionen) (0 zugewiesene Personen)Python (7.230 Stars) (605 Forks)batch import
PR wantedenhancementfeaturehasheshelp wantedneeds discussionneeds more infopackaging

Beschreibung

The upstream is moving forward now — https://github.com/pypi/warehouse/issues/15871 — so should pip-tools. I don't yet know what it'll look like here but we need to watch for the opportunities to integrate a preliminary support for such security-related features.

Contributor Guide

Tech Stack
python
Domain
securitytooling
Issue Type
feature
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
4
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-2 days
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
active
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
needs investigation
Voraussetzungen
PythonPEP 740pip tools internals
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
25
Research-Richtung
The issue is to research integration of PEP 740 digital attestations into pip tools. Start by reading the upstream warehouse issue #15871 to understand the attestation verification model. Then explore pip tools' dependency resolution and download code, particularly in piptools/sync.py and piptools/resolver.py, to identify where verification could be inserted. Provide a summary of potential integration points and a proposed approach for preliminary support.