Η λίστα dependencies χρειάζεται αντιστοίχιση με πραγματικό build

Εκδόσεις, προέλευση και άδειες

Ένα requirements αρχείο με ευέλικτα version ranges δεν δείχνει απαραίτητα τι εγκαταστάθηκε σήμερα. Κατάγραψε ακριβείς εκδόσεις, source registry, πλατφόρμα και license. Το python -m pip freeze δίνει στιγμιότυπο του τρέχοντος περιβάλλοντος, αλλά μπορεί να περιλαμβάνει δοκιμαστικές ή transitively installed βιβλιοθήκες. Σύγκρινέ το με το lockfile και με καθαρή εγκατάσταση.

python -m pip list --format=json
python -m pip check
python -m pip freeze
sha256sum dist/package.whl 2>/dev/null || true

Ποια είναι η σημασία του checksum;

Το hash αποδεικνύει ταύτιση bytes με γνωστή και έμπιστη αρχική τιμή. Δεν αποδεικνύει ότι ο δημιουργός ήταν αξιόπιστος ούτε ότι επιτρέπεται η εμπορική διανομή. Το SBOM καταγράφει συστατικά και σχέσεις dependencies, βοηθώντας σε έλεγχο ευπαθειών και αδειών, όχι σε αυτόματη πιστοποίηση ασφάλειας. Ένα artifact attestation συνδέει αρχείο με claims συγκεκριμένου build που πρέπει να ελεγχθούν.

Μικρή έρευνα εξάρτησης

Διάλεξε ακίνδυνη open-source βιβλιοθήκη που υπάρχει σε δικό σου project. Βρες upstream όνομα, license, installed version, transitives και πού ακριβώς χρησιμοποιείται. Εξήγησε αν απαιτείται να διανέμεις license notice μαζί με την εφαρμογή. Κατάγραψε ένα σενάριο όπου η βιβλιοθήκη μπορεί να αφαιρεθεί ώστε να μειωθούν επιφάνεια επίθεσης και συντήρηση.

Απόφαση δημοσίευσης

Μην συμπεριλάβεις ανεξέλεγκτο binary ή άγνωστη άδεια σε release χωρίς τεκμηριωμένη απόφαση. Μην αντικαθιστάς πακέτα με απλώς παρόμοια ονόματα από τυχαία registries. Το inventory χρειάζεται ημερομηνία, επειδή vulnerabilities και metadata αλλάζουν.

Πηγή: https://docs.github.com/en/actions/concepts/security/artifact-attestations