jazzband/pip-tools

Research ways to support verifying the PEP 740 digital attestations early

Open

#2080 aperta il 26 apr 2024

Vedi su GitHub
 (3 commenti) (0 reazioni) (0 assegnatari)Python (605 fork)batch import
PR wantedenhancementfeaturehasheshelp wantedneeds discussionneeds more infopackaging

Metriche repository

Star
 (7230 star)
Metriche merge PR
 (Merge medio 1g 21h) (3 PR mergiate in 30 g)

Descrizione

The upstream is moving forward now — https://github.com/pypi/warehouse/issues/15871 — so should pip-tools. I don't yet know what it'll look like here but we need to watch for the opportunities to integrate a preliminary support for such security-related features.

Guida contributor

Direzione di ricerca
Indaga l'issue upstream #15871 e PEP 740 per comprendere il meccanismo di attestazione. Esplora come pip tools può integrare la verifica delle attestazioni digitali per i pacchetti, possibilmente aggiungendo un flag da riga di comando o un'opzione di configurazione per verificare le attestazioni durante la risoluzione delle dipendenze.
Tech stack
python
Dominio
securitybackend
Tipo issue
Ricerca
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-2 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Richiede indagine
Prerequisiti
Pythonpip toolsunderstanding of PEP 740
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
40