forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

PyPI приостановил регистрацию новых пользователей и проектов из-за всплеска вредоносных публикаций, opennews (??), 29-Мрт-24, (0) [смотреть все]

На самом деле, утомительно по 10 раз перепроверять, что вон тот васянопакет на с, Аноним (5), 13:25 , 29-Мрт-24, (5) +5 //

Хоть как-то у себя поддерживать базу доверительных публичных ключей https pac, Аноним (20), 16:00 , 29-Мрт-24, (20) //

А бэкдор в xz-utils ведь был подписан Или нет , Аноним (5), 20:04 , 29-Мрт-24, (43) +2 //

Говорат был подписан Newer releases were signed by a potentially compromised u, Аноним (51), 09:48 , 30-Мрт-24, (51)

Адекватные люди ставят все pure-python пакеты исключительно из исходников, бинар, Аноним (7), 13:26 , 29-Мрт-24, (7) –1 //

А как отличить правильный исходник от 171 немножко изменённого 187 У бинарн, Аноним (8), 13:36 , 29-Мрт-24, (8) +1 //

Вот бинарник от подправленного ты никак не отличишь - злоумышленник и сумму пере, Аноним (31), 17:36 , 29-Мрт-24, (31)
Кстати, там в дистрибутивных xz-utils малварь нашли в исходниках, вот это по-акт, Аноним (5), 19:53 , 29-Мрт-24, (42) //

В том то и дело, что нашли В бинарнике бы её даже выискивать не стали , Аноним (65), 17:41 , 30-Мрт-24, (65)
И подчеркну - бэкдор был именно в релизах, которые обычно никто не смотрит, пото, Аноним (66), 17:46 , 30-Мрт-24, (66)

Неа, никто ничего не заметил за 2 месяца и растащили повсюду, в том числе по дис, Аноним (5), 19:23 , 30-Мрт-24, (68)

Повторяю недоумки берут архив с релизами Просто потому, что для архива нужен п, Аноним (70), 16:13 , 31-Мрт-24, (70)

Дело в том, что это быстрее и лучше поддаётся автоматизации И разве люди, сноша, Аноним (5), 16:43 , 31-Мрт-24, (71)

Смотри, перечень пакетов со сборкой которых возникли сложности лично у меня толь, Аноним (5), 13:38 , 29-Мрт-24, (9) //

Читай маны, Аноним (10), 14:03 , 29-Мрт-24, (10) //

Ты не понял Тысячи пакетов я скомпилировал, включая все используемые пакеты в p, Аноним (5), 14:15 , 29-Мрт-24, (12)

Не из pypi надо кшмпилить, а с гитхаба , Аноним (31), 17:37 , 29-Мрт-24, (32)

Сказано Tensorflow я сам ставлю из бинарей Потому что Гуглаг специально саботир, Аноним (30), 17:31 , 29-Мрт-24, (30) +1 //

Это 1 spacy и его зависимости на самом деле , Аноним (5), 17:38 , 29-Мрт-24, (34)

Я себе просто отключил проверку зависимостей в pip Доустанавливаю если что-то н, Аноним (36), 17:48 , 29-Мрт-24, (36)

Слезть с питона, очевидно же , YetAnotherOnanym (ok), 19:04 , 29-Мрт-24, (41) –1

А какой не является Можно список с аргументами , БуБука (?), 16:34 , 29-Мрт-24, (28)
Много ли ты видел pure-python пакетов , Пряник (?), 17:37 , 29-Мрт-24, (33) //

Более сотни - это лишь те, что я полностью сам написал, без учёта превосходящего, Аноним (36), 17:52 , 29-Мрт-24, (37) –1 //

под pure python имеется в виду отсутствие компиляции cext или долботни с maturin, Аноним (36), 17:56 , 29-Мрт-24, (38)

Правда, pure python _именно это_ и означает только интерпретируемый код, без ис, Аноним (5), 18:11 , 29-Мрт-24, (39)

О, оправдания пошли Для меня pure-python пакет - это пакет, состоящий из кода н, Аноним (40), 18:54 , 29-Мрт-24, (40)

Например, Paramiko не pure-python, потому что зависит от cryptography, написанно, Пряник (?), 10:30 , 01-Апр-24, (73)

Есть модуль multiprocessing Между разными процессами GIL не используется , Пряник (?), 10:25 , 01-Апр-24, (72)

Зато добавляются накладные расходы, IPC очень дорого и невозможно шарить конекше, Аноним (5), 10:49 , 01-Апр-24, (74)

Ну так про GIL говорили же А GIL никак не связан с однопоточной природой Asynci, Пряник (?), 15:05 , 01-Апр-24, (75)

Как можно из 16 пакетов сделать 566, кажись это очень эффективные менеджеры , Alladin (?), 17:08 , 29-Мрт-24, (29) +5
И куда он отправляет пароли Давайте уже вычислим по IP этого мамкиного шалунишк, Пряник (?), 17:43 , 29-Мрт-24, (35) +1 //

Тебе надо, сам и вычисляй С , голос из леса (?), 21:19 , 29-Мрт-24, (45) //

Нет, это тебе надо чтобы тут пользователь вычислил иначе бы комментарии не пис, Аноним (49), 07:14 , 30-Мрт-24, (49) //

Рекурсия получается, Прохожий (??), 12:30 , 30-Мрт-24, (59)

Точнее, не рекурсия, а бесконечный цикл , Прохожий (??), 12:33 , 30-Мрт-24, (60)

На какой-нибудь бесплатный хостинг ВПН, естественно , Аноним (54), 11:11 , 30-Мрт-24, (54)

А нельзя сделать просто проверку на похожесть и не разрешать имена пакетов, похо, Аноним (48), 03:25 , 30-Мрт-24, (48) +3 //

Во сколько символов разница должна быть, чтобы название не считать похожим , Прохожий (??), 12:27 , 30-Мрт-24, (57) //

С точностью до опечатки достаточно , 3draven (ok), 19:12 , 30-Мрт-24, (67)

Любые научные книги, в том числе по ИИ, содержащие упоминание технологий Pytho, Аноним (52), 10:13 , 30-Мрт-24, (52) –4 //

Тёплое с мягким тебя где научили сравнивать Или ты сам , Вы забыли заполнить поле Name (?), 12:03 , 30-Мрт-24, (56) +2

Надо запрещать похожие названия, а вообще давно пора по умолчанию сделать userna, Вы забыли заполнить поле Name (?), 12:01 , 30-Мрт-24, (55) //

Во сколько символов разница должна быть, чтобы название не считать похожим , Прохожий (??), 12:28 , 30-Мрт-24, (58) –1 //

Очевидно, коллега - специалист по сравнениюПоэтому будет делать это, Аноним (52), 13:57 , 30-Мрт-24, (61) –1
Очевидно разница может быть равна нулю Функция похожести будет сложнее чем прос, Вы забыли заполнить поле Name (?), 16:41 , 30-Мрт-24, (64)

и будут тайпсквотить имена разрабов кроме имени пакета, чатжпт (?), 14:14 , 30-Мрт-24, (62) //

Для тайпскотинга имени пакета нужна 1 учетная запись, для имени пользователя N , Вы забыли заполнить поле Name (?), 16:40 , 30-Мрт-24, (63) +1

Ну парни, кожанные мешки не могут называться программистами, если попадаются на , Аноним (69), 11:32 , 31-Мрт-24, (69) +1

Сообщения [Сортировка по времени | RSS]

33. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Пряник (?), 29-Мрт-24, 17:37

Много ли ты видел pure-python пакетов?

Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

37. "PyPI приостановил регистрацию новых пользователей и проектов..." –1 +/–

Сообщение от Аноним (36), 29-Мрт-24, 17:52

Более сотни - это лишь те, что я полностью сам написал, без учёта превосходящего вклада в чужие пакеты, большая часть из которых pure python.

Ответить | Правка | Наверх | Cообщить модератору

38. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (36), 29-Мрт-24, 17:56

под pure python имеется в виду отсутствие компиляции cext или долботни с maturin/setuptools-rust, что пакет можно установить просто распаковкой. Это не означает отсутствие зависимостей от компонентов в native-коде, таких как сам интерпретатор, shared-библиотеки, другие пакеты, jar-файлы, .Net-сборки, ONNX-файлы и т.д.

Ответить | Правка | Наверх | Cообщить модератору

39. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (5), 29-Мрт-24, 18:11

Правда, pure python _именно это_ и означает: только интерпретируемый код, без использования нативного (компилируемого) в любом виде, за исключением интерпретатора и его стандартных бинарных компонентов. И, в частности, без таких трюков как освобождение gil на время, пока нативный код исполняется. По этой же причине, такой код является третьесортным -- он просаживается в многопотоке.

Ответить | Правка | Наверх | Cообщить модератору

40. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (40), 29-Мрт-24, 18:54

>за исключением интерпретатора и его стандартных бинарных компонентов
О, оправдания пошли! Для меня pure-python пакет - это пакет, состоящий из кода на языке Python. Он может зависеть от нативных либ и прочих вещей, но эти вещи в состав пакета не входят. Поэтому сборка пакета своидится к созданию zip-архива нужного формата, а установка - к его распаковке. И почти не зависит от версии питона, а даже если зависит - то юзеру не придётся иметь на компе тулчейн (который в запущенных случаях должен быть MSVC). Ну ещё setuptools может сгенерить бинари для console_scripts в процессе установки (да, их не pip генерит, а setuptools)

Ответить | Правка | Наверх | Cообщить модератору

73. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Пряник (?), 01-Апр-24, 10:30

Например, Paramiko не pure-python, потому что зависит от cryptography, написанном на Си. А вот Bottle является одиночным файлом без зависимостей.

Ответить | Правка | Наверх | Cообщить модератору

72. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Пряник (?), 01-Апр-24, 10:25

Есть модуль multiprocessing. Между разными процессами GIL не используется.

Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

74. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Аноним (5), 01-Апр-24, 10:49

Зато добавляются накладные расходы, IPC очень дорого и невозможно шарить конекшены допустим. Вообще, я сравнивал на примере requests, намного выгоднее быстрее удобнее и эффективнее взять aiohttp. Раньше приходилось обмазываться pycurl, но, среди прочих недостатков, он не работает с асинхронным кодом и его слишком легко засегфолтить.

Ответить | Правка | Наверх | Cообщить модератору

75. "PyPI приостановил регистрацию новых пользователей и проектов..." +/–

Сообщение от Пряник (?), 01-Апр-24, 15:05

Ну так про GIL говорили же. А GIL никак не связан с однопоточной природой Asyncio.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	33. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Пряник (?), 29-Мрт-24, 17:37
	Много ли ты видел pure-python пакетов?
	Ответить \| Правка \| К родителю #7 \| Наверх \| Cообщить модератору


	37. "PyPI приостановил регистрацию новых пользователей и проектов..."	–1 +/–
	Сообщение от Аноним (36), 29-Мрт-24, 17:52
	Более сотни - это лишь те, что я полностью сам написал, без учёта превосходящего вклада в чужие пакеты, большая часть из которых pure python.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (36), 29-Мрт-24, 17:56
	под pure python имеется в виду отсутствие компиляции cext или долботни с maturin/setuptools-rust, что пакет можно установить просто распаковкой. Это не означает отсутствие зависимостей от компонентов в native-коде, таких как сам интерпретатор, shared-библиотеки, другие пакеты, jar-файлы, .Net-сборки, ONNX-файлы и т.д.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (5), 29-Мрт-24, 18:11
	Правда, pure python _именно это_ и означает: только интерпретируемый код, без использования нативного (компилируемого) в любом виде, за исключением интерпретатора и его стандартных бинарных компонентов. И, в частности, без таких трюков как освобождение gil на время, пока нативный код исполняется. По этой же причине, такой код является третьесортным -- он просаживается в многопотоке.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (40), 29-Мрт-24, 18:54
	>за исключением интерпретатора и его стандартных бинарных компонентов О, оправдания пошли! Для меня pure-python пакет - это пакет, состоящий из кода на языке Python. Он может зависеть от нативных либ и прочих вещей, но эти вещи в состав пакета не входят. Поэтому сборка пакета своидится к созданию zip-архива нужного формата, а установка - к его распаковке. И почти не зависит от версии питона, а даже если зависит - то юзеру не придётся иметь на компе тулчейн (который в запущенных случаях должен быть MSVC). Ну ещё setuptools может сгенерить бинари для console_scripts в процессе установки (да, их не pip генерит, а setuptools)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	73. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Пряник (?), 01-Апр-24, 10:30
	Например, Paramiko не pure-python, потому что зависит от cryptography, написанном на Си. А вот Bottle является одиночным файлом без зависимостей.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	72. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Пряник (?), 01-Апр-24, 10:25
	Есть модуль multiprocessing. Между разными процессами GIL не используется.
	Ответить \| Правка \| К родителю #39 \| Наверх \| Cообщить модератору


	74. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Аноним (5), 01-Апр-24, 10:49
	Зато добавляются накладные расходы, IPC очень дорого и невозможно шарить конекшены допустим. Вообще, я сравнивал на примере requests, намного выгоднее быстрее удобнее и эффективнее взять aiohttp. Раньше приходилось обмазываться pycurl, но, среди прочих недостатков, он не работает с асинхронным кодом и его слишком легко засегфолтить.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	75. "PyPI приостановил регистрацию новых пользователей и проектов..."	+/–
	Сообщение от Пряник (?), 01-Апр-24, 15:05
	Ну так про GIL говорили же. А GIL никак не связан с однопоточной природой Asyncio.
	Ответить \| Правка \| Наверх \| Cообщить модератору