`pip install foo-package==1.0.0`今天可以下载与昨天不同的代码吗

Question

我需要确保如果将来再次安装，允许用于安全系统的软件包将保持静态。坏人（包所有者）能否诱使用户下载不安全/未经审查的源代码？

Answer 1

PyPI 维护者在这里：是的，这是可能的，因为pip将安装最佳发行版。这通常发生在项目上传源分发 (sdist) 然后为给定版本上传特定于平台的轮子时：pip总是喜欢轮子而不是源分发。

如果您想防止这种情况发生，您可以在通过哈希检查模式安装时指定文件哈希。