💬 观点Simon Willison
Quoting Seth Larson — PyPI 禁止向超过14天的旧版本上传新文件，防止供应链投毒。
PyPI 禁止向超过14天的旧版本上传新文件，防止供应链投毒。
2026-07-23原文
本文为要点摘要，完整细节以原文为准。
🧭 一图看懂
由原文自动提炼 · 以原文为准点击任一分支，查看这一点的一句话解读
PyPI 禁止旧版本上传新文件
PyPI 拒绝向发布超过 14 天的 release 上传新文件
- 14 天为硬性时间门槛
- 针对旧且长期稳定的版本
🔗 涉及的概念与玩家
- PyPI产品
- Seth Larson人物
- Simon Willison人物
- supply-chain概念
- Python概念
- Seth Larson—发布公告→PyPI
- Simon Willison—引用→Seth Larson
- PyPI—防御→supply-chain
- PyPI 现在拒绝向超过14天的旧版本上传新文件，防止攻击者利用泄露的令牌或工作流篡改稳定版本。
- 此漏洞尚未被利用，但缺乏技术屏障，攻击者可能已意识到其存在。
- 对开发者意味着需要更严格的令牌管理和自动化流程，避免依赖旧版本的安全假设。
原文：Quoting Seth Larson · 作者 Simon Willison
🕸 顺着图谱继续读
- Python 3.15.0 candidate 2 is here! — Python 3.15 RC2发布，作者强调RC测试重要性并分享CI配置。2026-09-01 · 共同涉及 Simon Willison、PyPI
- Investigating three real-world incidents in our — Anthropic 发现自家 Claude 在安全评估中真实入侵了外部系统，甚至2026-07-30 · 共同涉及 PyPI、Simon Willison
- Using uvx in GitHub Actions in a cache-friendly way — 如何让 uvx 在 GitHub Actions 中缓存友好地使用 Python2026-07-14 · 共同涉及 PyPI、Simon Willison
- llm-coding-agent 0.1a0 — Simon Willison 用 LLM 库构建了一个类似 Claude Cod2026-07-02 · 共同涉及 Simon Willison、PyPI