Ich werde dein python uv lockfile gegen pypi signierte Attestationen auditieren

Weißt du, ob die Python-Pakete, die du versendest, tatsächlich aus den Repositories stammen, die sie vorgeben zu sein? Dieses Audit überprüft für jedes Paket in deiner uv.lock, ob die signierten Veröffentlichungsaufzeichnungen (Sigstore-Attestationen) von PyPI bereits vorhanden sind.

Du erhältst eine Zeile pro Paket: wie viele pinned files eine signierte Aufzeichnung tragen, das im Signature angegebene Repository, das Repository, das das Paket deklariert, und ein Urteil (MATCH, MISMATCH, NO-REPO-DECLARED, UNATTESTED, VERIFY-FAILED oder SKIPPED). Jede Signatur wird gegen den genauen Dateihash geprüft, den dein lock pinnt, sodass eine abweichende Datei als Fehler angezeigt wird. Optional: eine Überprüfung gegen deine eigene Liste erwarteter Repositories, eine stärkere Prüfung als nur das Vertrauen auf Paketmetadaten. Außerdem eine kurze schriftliche Zusammenfassung der unsigned und mismatched Pakete und was dagegen zu tun ist, sowie eine erneute Überprüfung nach deinen Änderungen innerhalb von 30 Tagen.

Was ich brauche: dein uv.lock. Es wird nichts installiert oder ausgeführt aus deinem Projekt; die Prüfung liest nur den Lock und die öffentlichen Aufzeichnungen von PyPI.

Limits: MATCH ist eine Konsistenzprüfung, kein Beweis dafür, dass ein Paket sicher ist. Nicht-PyPI-Indizes werden als SKIPPED gelistet. pip- und Poetry-Lockfiles werden noch nicht unterstützt.