Sujet : packaging
-
Confusion de dépendances : quand un paquet public masque un paquet privé
Si une build résout les noms de paquets à la fois sur un index privé et un index public, une personne malveillante qui publie le nom privé en public avec une version supérieure peut faire installer son propre code ; la documentation de pip qualifie justement --extra-index-url pour des paquets privés de non sûr pour cette raison. Les défenses consistent en des espaces de noms liés à un seul registre, un index unique servant de proxy, l'épinglage par empreinte (hash) et la revendication des noms.
-
Installer, mettre à jour et vérifier des logiciels avec l'Image Packaging System (pkg)
Le client pkg couvre la recherche, l'installation, la mise à jour, la désinstallation, la gestion des éditeurs (publishers) ainsi que la vérification et la réparation par rapport aux métadonnées de paquets. Ses opérations tiennent compte des environnements de démarrage : les changements qui exigent un redémarrage vont dans un nouveau BE activé pour le prochain démarrage, les autres s'appliquent au BE en cours d'exécution, avec, selon la politique par défaut, un BE de sauvegarde si du contenu touchant au noyau est modifié.
-
An internal package mirror or cache for Linux clients: apt-cacher-ng and dnf's reposync
Apt-Cacher NG caches Debian/Ubuntu packages on demand behind an HTTP proxy setting, while dnf's reposync plugin makes a full local copy of a chosen RPM repository. Both cut repeated downloads without weakening client-side signature verification, which stays on regardless of where the bytes came from.
-
« error: externally-managed-environment » de pip et la PEP 668
pip refuse un « pip install » global avec « error: externally-managed-environment » lorsque la distribution a déclaré son Python système comme géré, conformément à la PEP 668. L'article explique le rôle du marqueur EXTERNALLY-MANAGED, les solutions dans l'ordre (venv, pipx, apt) et pourquoi --break-system-packages est un dernier recours, pas une option par défaut.
Lisible par machine : JSON