Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

Request: independently verifiable source signing and reproducible-build details for v7.0.0

Offen
  • Stimmt etwas nicht?
#2,979 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 10 Tagen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
42/100
Issue-Typ
Dokumentation
Klarheit
Größtenteils klar
Aktivitätsstatus
Ruhig
Tech-Stack
git, github, python
Bereich
build-system, documentation, release, security

Rechercherichtung

Beginne mit der Überprüfung des annotierten Tags v7.0.0, des peeled commit, des source archive, der wheel und der in der Issue genannten source distribution. Überprüfe den Release- und Packaging-Prozess des Projekts auf Maintainer-Signaturen, Schlüsselbindungen, Hashes, Versionen der Build-Tools und Abhängigkeiten sowie Provenance-Datensätze. Als erledigt gilt die Aufgabe, wenn maßgebliche Antworten auf die sechs angeforderten Fragen zu Provenance und Reproduzierbarkeit dokumentiert oder veröffentlicht sind.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Hello maintainers,

I am reviewing python-tuf v7.0.0 for use in a security-sensitive, offline-verification workflow.

I could verify the following GitHub objects:

  • Annotated tag object: fed65f73486314242cc738fc7c5c891f5d7fc369
  • Peeled commit: 353bdb767db56fd4667c9bcf56b710d50fdc2ac0

GitHub shows the tag as verified through GitHub's web-flow signing key. However, I have not found an independently published maintainer signature or key binding that can authenticate these source objects without initially trusting GitHub as the identity authority.

Could you please clarify:

  1. Is there an official non-GitHub location that binds the v7.0.0 tag or commit to a maintainer-controlled signing-key fingerprint?
  2. Is a detached signature or signed release statement available for the tag, commit, or source archive?
  3. What is the canonical SHA-256 digest of the source archive used to build the published v7.0.0 artifacts?
  4. What exact build-tool and dependency versions were used for the release?
  5. Are the wheel and source distribution intended to be byte-for-byte reproducible from the tagged source? If not, which content-level comparison is considered authoritative?
  6. Are there plans to publish provenance or attestations that bind the source commit to the PyPI artifacts?

This is a supply-chain provenance question, not a vulnerability report. No private repository information or credentials are involved.

Thank you.

Vorherrschende Sprache
Python
Sterne
1.7k
Forks
304
Ø Merge
9 Std. 25 Min.
Gemergte PRs (30 T.)
14

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus theupdateframework/python-tuf

Alle Issues in theupdateframework/python-tuf

Ähnliche Issues

Weitere Issues zu Python

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.