AI 風向標｜PyPI 限制向 14 天前版本補傳文件
PyPI 限制向 14 天前版本補傳文件
Python Package Index（PyPI）宣布，發布時間超過 14 天的發行版本將拒絕新增文件上傳。官方說明，這項限制主要針對“舊版本被補傳惡意構件”的供應鏈風險：即使攻擊者取得發布令牌或 CI 工作流權限，也更難向用戶長期信任、且在依賴中被固定的舊版本註入新文件。PyPI 同時說明，尚未發現該路徑已被實際濫用，未來仍需通過 Upload 2.0 等規范明確版本關閉狀態的語義。
這項變更會改變少數維護流程，例如過去可能為舊版補充新 Python 版本的 wheel；維護者需要發布新版本而非修改歷史發行物。對使用方而言，版本固定、哈希校驗、數字證明和及時升級仍不可替代，但不可變程度提高能減少事後判斷“同一版本是否被污染”的複雜度。它也為其他包倉庫提供了可借鑒的最小化歷史可寫面的思路。