PyPI now rejects new files after 14 days
5 hours ago
- PyPI现在拒绝将新文件上传到超过14天的旧版本，以防止在发布令牌或工作流被泄露时对旧版本进行投毒。
- 政策讨论始于2024年1月的PEP 740（数字认证），并在2026年3月LiteLLM和Telnyx包因Trivy GitHub Action中的可变引用被攻破后重新启动。
- 一些项目依赖于能够为已发布的版本添加对新Python版本的支持，但PyPI数据库查询显示，在前15000个包中，只有56个包在发布超过14天后发布了兼容3.14的wheel。