python - 验证 PyPI Python 包的完整性

Question

最近有消息称一些恶意库被上传到Python Package Index (PyPI)，请参阅:

1. Malicious libraries on PyPI
2. Malicious modules found into official Python repository (此链接包含恶意软件包列表)
3. Developers using malicious Python Modules

我并不是想转发这些消息，而是试图阻止自己和其他队友识别来自 PyPI 的包是否未被外部方更改。

问题:

1. 从 PyPI 下载软件包后，我应该使用什么安全检查？ MD5 或任何额外步骤？
2. MD5 签名足以验证 Python 包的完整性吗？

Answer 1

首先，文章描述了误植的危险，这是由于开发人员盲目地按名称安装软件包而不检查它是否是正确的上游软件包而导致的。您可以通过访问作者的 GitHub 存储库并正确复制安装说明来避免这种情况。

除此之外，包也可能被篡改，但可能性不大。由于 PyPI 文件是通过 HTTPS 传输的，因此从服务器获取哈希并验证它没有多大意义。 (如果作者的帐户或 PyPI 服务器被黑客攻击，哈希并不能阻止您安装恶意软件包。)

如果您需要额外的安全措施来防止服务器受到损害，请使用固定版本/哈希。请参阅documentation了解详情。