jazzband/pip-tools

Research ways to support verifying the PEP 740 digital attestations early

Open

#2.080 aberto em 26 de abr. de 2024

Ver no GitHub
 (3 comments) (0 reactions) (0 assignees)Python (7.230 stars) (605 forks)batch import
PR wantedenhancementfeaturehasheshelp wantedneeds discussionneeds more infopackaging

Description

The upstream is moving forward now — https://github.com/pypi/warehouse/issues/15871 — so should pip-tools. I don't yet know what it'll look like here but we need to watch for the opportunities to integrate a preliminary support for such security-related features.

Guia do colaborador

Pilha de tecnologia
python
Domain
securitytooling
Tipo Issue
feature
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
4
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-2 days
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
active
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
needs investigation
Prerequisites
PythonPEP 740pip tools internals
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
25
Direção de pesquisa
The issue is to research integration of PEP 740 digital attestations into pip tools. Start by reading the upstream warehouse issue #15871 to understand the attestation verification model. Then explore pip tools' dependency resolution and download code, particularly in piptools/sync.py and piptools/resolver.py, to identify where verification could be inserted. Provide a summary of potential integration points and a proposed approach for preliminary support.