Tema: packaging
-
Confusión de dependencias: cuando un paquete público eclipsa a uno privado
Si una compilación resuelve los nombres de paquete a la vez en un índice privado y en uno público, un atacante que publique el nombre privado en público con una versión superior puede conseguir que se instale su código; la documentación de pip califica de insegura la opción --extra-index-url para paquetes privados precisamente por esta razón. Las defensas son espacios de nombres vinculados a un único registro, un índice único que actúa de proxy, la fijación por hash y la reserva de nombres.
-
Instalación, actualización y verificación de software con el Image Packaging System (pkg)
El cliente pkg permite buscar, instalar, actualizar y desinstalar software, gestionar publicadores y verificar o reparar el contenido instalado según los metadatos de empaquetado. Sus operaciones tienen en cuenta los entornos de arranque: los cambios en paquetes que requieren reinicio se aplican en un BE nuevo, activado para el próximo arranque, y el resto se aplica al BE en ejecución; con la política predeterminada se crea un BE de respaldo si se toca contenido que afecta al kernel.
-
An internal package mirror or cache for Linux clients: apt-cacher-ng and dnf's reposync
Apt-Cacher NG caches Debian/Ubuntu packages on demand behind an HTTP proxy setting, while dnf's reposync plugin makes a full local copy of a chosen RPM repository. Both cut repeated downloads without weakening client-side signature verification, which stays on regardless of where the bytes came from.
-
El error «externally-managed-environment» de pip y la PEP 668
Pip rechaza un «pip install» global con «error: externally-managed-environment» cuando la distribución ha marcado su Python del sistema como gestionado según la PEP 668. El artículo explica qué significa el marcador EXTERNALLY-MANAGED, las soluciones con venv, pipx y apt por orden, y por qué --break-system-packages es un último recurso y no una opción por defecto.
Legible por máquina: JSON