conda - conda-forge 和 cf-staging channel 有什么区别

Question

我在 PyPi 中维护了一个包我也放在conda-forge对于那些喜欢使用 conda 而不是 pip 安装的人。

过去，我会在 feedstock 中更新版本和 SHA它会自动将新版本提供给 the conda-forge channel .然而，我最近的更新似乎已经传播到一个名为 cf-staging 的 channel 中。 .

我想弄清楚为什么它传播到 cf-staging 而不是 conda-forge 以及我必须做些什么才能让它从 移动cf-staging 到 conda-forge。有什么想法吗？

Answer 1

它是管道的一部分。它最终应该转移，但如果超过一天，请联系管理员或跳上 the Gitter chat .

如 the documentation 中所述，Anaconda Cloud 每个 channel 只允许一个 API token ，因此为了防止一种原料的维护者推送其他包的构建，Conda Forge 团队使用中间 channel (cf-staging) CI 工具将对提交的包进行验证，然后再将它们发送到 conda-forge 适当的 channel 。

除其他外，此策略有助于减轻恶意用户的攻击，这些用户可能会在不显眼的包上获得原料维护权，以便稍后重建流行的包(如 python 或 numpy) 以包含一些恶意代码，并试图将其从他们的原料推送到 Conda Forge channel ，在那里它可能会部署到数万名用户。