release-smoke cannot verify PyPI attestations: wrong sigstore flag and wrong artifact type
Los mantenedores suelen responder en 2 días
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 62/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- github-actions, python
- Área
- ci-cd, documentation, release
Línea de trabajo
Empieza en .github/workflows/release-smoke.yml, alrededor de las líneas 225-229, donde el paso pypi_smoke ejecuta python -m sigstore verify identity con --cert-identity-regexp. Confirma que la versión instalada de sigstore rechaza esta opción y luego busca dónde se obtiene /tmp/provenance.json, ya que el comando sugerido pypi-attestations verify pypi lee ese archivo. Estará hecho cuando el paso de smoke verifique la atestación PEP 740 de un wheel y el mismo comando quede corregido en docs/install/README.md y docs/install/pypi.md.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
The release smoke job can't verify a PyPI attestation as written. .github/workflows/release-smoke.yml:225-229 runs:
python -m sigstore verify identity --bundle /tmp/attestation.sigstore.json --cert-identity-regexp ...
Two problems:
- sigstore 3.x, which the job installs, has no
--cert-identity-regexp(that's a cosign flag), so the command fails at argument parsing. - What
/integrity/.../provenancereturns is a PEP 740 attestation, not a Sigstore bundle.
Every pypi_smoke leg will fail on the first release published with Trusted Publishing (#519).
Working equivalent:
pypi-attestations verify pypi --repository https://github.com/${GITHUB_REPOSITORY} --provenance-file /tmp/provenance.json "$wheel"
docs/install/README.md:45-49 and docs/install/pypi.md:74-78 show the same broken command.
This blocks 0.2.0, unless #519 takes the fix.
Drafted with Claude Code; reviewed and posted by me.
- Lenguaje dominante
- Python
- Estrellas
- 22
- Forks
- 27
- Merge medio
- 1 d 23 h
- PR fusionados (30 d)
- 48
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de darnitdevorg/darnit
-
dependencies module-baseline needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
darnitdevorg/darnit#606 ·
Los mantenedores suelen responder en 2 días
-
A test starts real Sigstore signing (interactive OIDC login) when the attestation extra is installedAbiertomodule-baseline needs triage testing
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
darnitdevorg/darnit#604 ·
Los mantenedores suelen responder en 2 días
-
`darnit validate` crashes on openssf-baseline.toml summarising levelsPosiblemente ocupada @i-am-paradox la tomó hace 4 días. Abiertointerface-cli module-core
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
darnitdevorg/darnit#589 · 1 comentario ·
Los mantenedores suelen responder en 2 días
-
Plugins hard-code version "0.1.0" while the packages are at 0.1.1Posiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abiertogood first issue maintenance
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
darnitdevorg/darnit#587 · 2 comentarios ·
Los mantenedores suelen responder en 2 días
-
infrastructure module-baseline
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
darnitdevorg/darnit#585 · 1 comentario ·
Los mantenedores suelen responder en 2 días
Todos los issues de darnitdevorg/darnit
Issues similares
-
bug needs-triage priority:medium
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
yeongseon/azure-functions-logging-python#583 ·
Los mantenedores suelen responder en 1 día
-
documentation needs-triage priority:medium
Dificultad 2/5 1-3 horas Aptitud para principiantes 85/100
yeongseon/azure-functions-validation-python#546 ·
Los mantenedores suelen responder en 1 día
-
PHP workflow streaming requests buffer the full SSE responsePosiblemente ocupada @Winoren la tomó hoy. Abiertoreview: medium
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
langgenius/dify#44270 · 1 comentario · 1 reacción ·
Los mantenedores suelen responder en 1 día
-
P4: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
jeffknupp/association#523 ·
-
bug help wanted
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
DarkStarSystems/pcons#229 ·
Los mantenedores suelen responder en 1 día