Implement PEP-708 - Extend the repository API to mitigate "dependency confusion" attacks

Offen

#998 erstellt am 31.10.2025 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 5/5
Geschätzter Aufwand: Über eine Woche
Anfängerfreundlichkeit: 25/100

Issue-Typ: Feature
Klarheit: Muss geklärt werden
Aktivitätsstatus: Veraltet
Tech-Stack: python
Bereich: api, security

Rechercherichtung

Start by reading PEP-708 and the linked Simple Repository API specification. The issue names no files or tests; done means extending the repository API to support project tracking and namespace extension as specified, with coverage for the dependency-confusion protections.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Feature

PEP-708

Dependency confusion attacks, in which a malicious package is installed instead of the one the user expected, are an increasingly common supply chain threat. Most such attacks against Python dependencies, including the recent PyTorch incident, occur with multiple package repositories, where a dependency expected to come from one repository (e.g. a custom index) is installed from another (e.g. PyPI).

To help address this problem, this PEP proposes extending the Simple Repository API to allow repository operators to indicate that a project found on their repository “tracks” a project on different repositories, and allows projects to extend their namespaces across multiple repositories.

These features will allow installers to determine when a project being made available from a particular mix of repositories is expected and should be allowed, and when it is not and should halt the install with an error to protect the user.

Vorherrschende Sprache: Python
Sterne: 49
Forks: 88
Ø Merge: 1 T. 10 Std.
Gemergte PRs (30 T.): 31

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus pulp/pulp_python

RSS feed GUIDs are unstable when multi-architecture wheels arrive at different times Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 68/100

pulp/pulp_python#1381 · Erstellt am 15.9.2026
Way to preserve upload-time metadata for pull-through repository Offen

Feature Triage-Needed

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 45/100

pulp/pulp_python#1371 · Erstellt am 07.9.2026
Add standard "known vulnerabilities" metadata field, sourced from OSV Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 45/100

pulp/pulp_python#1360 · Erstellt am 01.9.2026
Extension of Python REST API (repo index, metrics, content filters) Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 52/100

pulp/pulp_python#1358 · Erstellt am 27.8.2026
Add support for SLSA attestation verification (pulp-service patch 0048) Offen

Feature

pulp/pulp_python#1340 · 1 zugewiesene Person · Erstellt am 20.8.2026

Alle Issues in pulp/pulp_python