jazzband/pip-tools

Research ways to support verifying the PEP 740 digital attestations early

Open

#2,080 opened on 2024年4月26日

GitHub で見る
 (3 comments) (0 reactions) (0 assignees)Python (7,230 stars) (605 forks)batch import
PR wantedenhancementfeaturehasheshelp wantedneeds discussionneeds more infopackaging

説明

The upstream is moving forward now — https://github.com/pypi/warehouse/issues/15871 — so should pip-tools. I don't yet know what it'll look like here but we need to watch for the opportunities to integrate a preliminary support for such security-related features.

コントリビューターガイド

技術スタック
python
領域
securitytooling
Issue 種別
feature
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
4
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
1-2 days
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
active
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
needs investigation
前提条件
PythonPEP 740pip tools internals
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
25
調査方針
The issue is to research integration of PEP 740 digital attestations into pip tools. Start by reading the upstream warehouse issue #15871 to understand the attestation verification model. Then explore pip tools' dependency resolution and download code, particularly in piptools/sync.py and piptools/resolver.py, to identify where verification could be inserted. Provide a summary of potential integration points and a proposed approach for preliminary support.
Research ways to support verifying the PEP 740 digital attestations early · jazzband/pip-tools#2080 | Good First Issue