`uv.lock` is stuck on GitPython 3.1.58 and Pillow 12.3.0

Đang mở
  • Có gì không ổn?
#287 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
48/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, python
Lĩnh vực
devops, security

Hướng nghiên cứu

Read pyproject.toml and the Dependabot configuration, then inspect the linked logs and PRs #275 and #277 to understand the metadata rewrite and Python version constraint. Check how the project’s supported Python versions affect both dependency updates and CI. Done means GitPython and Pillow can be updated to secure compatible versions, dependency checks pass, and lint passes without an unrelated Ruff upgrade.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

uv.lock on master (v1.59.1) still locks GitPython 3.1.58 and Pillow 12.3.0. Both have published advisories, fixed in GitPython 3.2.1 and Pillow 13.0.0, but neither Dependabot security update can land.

  • GitPython: #275 rewrites gitpython>=3.1.58 in pyproject.toml as gitpython*, so every check fails while building the package metadata (log):

    ValueError: Dependency #4 of field `project.dependencies` is invalid: Expected semicolon (after name with no version specifier) or end
    gitpython*
             ^

    This is the same name* rewrite as dependabot/dependabot-core#15639; versioning-strategy: increase did not prevent it here. #277 also moves GitPython to 3.2.1 and passes the tests, but it also upgrades ruff to 0.17.2, which fails lint.

  • Pillow: Pillow 13.0.0 requires Python 3.11 or later, and dvsim supports 3.10, so the security update job gives up (log):

    Filtered out pillow 13.0.0 because python requirement >= 3.11 is not satisfied by python 3.10.22
The latest possible version of pillow that can be installed is 12.3.0
security_update_not_possible

Found while relocking the same packages in chipsalliance/caliptra-rtl#1545.

Ngôn ngữ chính
Python
Star
16
Fork
23
Merge trung bình
2 giờ 42 phút
Pull request đã merge (30 ngày)
3

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của lowRISC/dvsim

Tất cả issue của lowRISC/dvsim

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.