jazzband/pip-tools

Research ways to support verifying the PEP 740 digital attestations early

Open

#2 080 ouverte le 26 avr. 2024

Voir sur GitHub
 (3 commentaires) (0 réactions) (0 assignés)Python (7 230 stars) (605 forks)batch import
PR wantedenhancementfeaturehasheshelp wantedneeds discussionneeds more infopackaging

Description

The upstream is moving forward now — https://github.com/pypi/warehouse/issues/15871 — so should pip-tools. I don't yet know what it'll look like here but we need to watch for the opportunities to integrate a preliminary support for such security-related features.

Guide contributeur

Stack technique
python
Domaine
securitytooling
Type d'issue
feature
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
4
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-2 days
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
needs investigation
Prérequis
PythonPEP 740pip tools internals
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
25
Direction de recherche
The issue is to research integration of PEP 740 digital attestations into pip tools. Start by reading the upstream warehouse issue #15871 to understand the attestation verification model. Then explore pip tools' dependency resolution and download code, particularly in piptools/sync.py and piptools/resolver.py, to identify where verification could be inserted. Provide a summary of potential integration points and a proposed approach for preliminary support.