Вариант для распечатки |
Пред. тема | След. тема | ||
Форум Разговоры, обсуждение новостей | |||
---|---|---|---|
Режим отображения отдельной подветви беседы | [ Отслеживать ] |
Оглавление |
Сообщения | [Сортировка по времени | RSS] |
7. "PyPI приостановил регистрацию новых пользователей и проектов..." | –1 +/– | |
Сообщение от Аноним (7), 29-Мрт-24, 13:26 | ||
Адекватные люди ставят все pure-python пакеты исключительно из исходников, бинарные - по возможности из дистра, по возможности - компилируют сами. | ||
Ответить | Правка | Наверх | Cообщить модератору |
8. "PyPI приостановил регистрацию новых пользователей и проектов..." | +1 +/– | |
Сообщение от Аноним (8), 29-Мрт-24, 13:36 | ||
А как отличить правильный исходник от «немножко изменённого»? У бинарника хотя бы чексумма есть... | ||
Ответить | Правка | Наверх | Cообщить модератору |
31. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (31), 29-Мрт-24, 17:36 | ||
Вот бинарник от подправленного ты никак не отличишь - злоумышленник и сумму пересчитает, и ключом своим подпишет, и ссылку на ключ на свою заменит. | ||
Ответить | Правка | Наверх | Cообщить модератору |
42. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 29-Мрт-24, 19:53 | ||
Кстати, там в дистрибутивных xz-utils малварь нашли в исходниках, вот это по-актуальнее https://bugs.gentoo.org/928134 https://www.openwall.com/lists/oss-security/2024/03/29/4 | ||
Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору |
65. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (65), 30-Мрт-24, 17:41 | ||
В том то и дело, что нашли. В бинарнике бы её даже выискивать не стали. | ||
Ответить | Правка | Наверх | Cообщить модератору |
66. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (66), 30-Мрт-24, 17:46 | ||
И подчеркну - бэкдор был именно в релизах, которые обычно никто не смотрит, потому что все разрабы работают с git. А спалили именно на работе с другими разрабами. Если бы xz был поддерживаемым - спалили бы гораздо раньше. Но он фактически не был никому интересен. Как и bitmessage, в котором тоже был явный бэкдор, RCE, вообще никак не спрятанный - публично сообщили только после начала массовой атаки. Не пользуйтесь проектами с низким числом независимых разрабов и индикаторами мутности, или читайте и аудируйте их исходники сами. | ||
Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору |
68. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 30-Мрт-24, 19:23 | ||
Неа, никто ничего не заметил за 2 месяца и растащили повсюду, в том числе по дистрам. Никто не использует гит/свн и т.д., понятное дело все берут релизный архив с исходниками, а он-то и заражён. То, что он соответствует реальным исходникам, никто не проверяет, как мы видим. | ||
Ответить | Правка | Наверх | Cообщить модератору |
70. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (70), 31-Мрт-24, 16:13 | ||
Повторяю: недоумки берут архив с релизами. Просто потому, что для архива нужен просто curl, а для релиза - git + git-lfs + libcurl для фетча по http + настройка (которую можно сделать черрез переменные окружения), потому что гит откажется даже клонировать, пока никнейм и email не задашь. | ||
Ответить | Правка | Наверх | Cообщить модератору |
71. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 31-Мрт-24, 16:43 | ||
Дело в том, что это быстрее и лучше поддаётся автоматизации. И разве люди, сношающиеся с гитхабами и их ограничениями скорости, не недоумки? Самые настоящие. Проблема не в используемых инструментах, проблема в том, что пользователям получать дерево достаточно болезненно, а если ещё разные ветки с тегами выкачивать придётся, то всё. | ||
Ответить | Правка | Наверх | Cообщить модератору |
9. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 29-Мрт-24, 13:38 | ||
Смотри, перечень пакетов со сборкой которых возникли сложности лично у меня только на той неделе. Каковы будут дальнейшие рекомендации? О, я бы сейчас с удовольствием предоставил ещё и гигабайты максимально мутных логов, но так, навскидку? И чёт почти ничего в репах и не водится. А если и есть, то протухшее и неактуальное. | ||
Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору |
10. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (10), 29-Мрт-24, 14:03 | ||
Читай маны | ||
Ответить | Правка | Наверх | Cообщить модератору |
12. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 29-Мрт-24, 14:15 | ||
Ты не понял. Тысячи пакетов я скомпилировал, включая все используемые пакеты в pypi. Кроме этих. А эти ну никак не компилируются. Дальнейшие действия? В итоге, есть только блобы в pypi и больше ничего. И игры с тулчейнами тоже ни к чему не приводят. Какой вообще смысл их компилировать разработчику? Правильно, никакого. А пользователи могут взять ровно те же общедоступные блобы, собранные в непонятных условиях. | ||
Ответить | Правка | Наверх | Cообщить модератору |
32. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (31), 29-Мрт-24, 17:37 | ||
Не из pypi надо кшмпилить, а с гитхаба. | ||
Ответить | Правка | Наверх | Cообщить модератору |
30. "PyPI приостановил регистрацию новых пользователей и проектов..." | +1 +/– | |
Сообщение от Аноним (30), 29-Мрт-24, 17:31 | ||
>tensotflow | ||
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору |
34. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 29-Мрт-24, 17:38 | ||
Это 1 spacy и его зависимости на самом деле. | ||
Ответить | Правка | Наверх | Cообщить модератору |
36. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (36), 29-Мрт-24, 17:48 | ||
Я себе просто отключил проверку зависимостей в pip. Доустанавливаю если что-то не работает вне зависимости от того, что записано в METADATA. И такое гигантское дерьмо приходится ставить из бинарных пакетов. Ручками. Из исходников ставлю всякую мелочь вроде colorama, setultools, pip, etc. И если учитывать зависимости, то у самого TensorFlow дофига бинарных зависимостей. | ||
Ответить | Правка | Наверх | Cообщить модератору |
41. "PyPI приостановил регистрацию новых пользователей и проектов..." | –1 +/– | |
Сообщение от YetAnotherOnanym (ok), 29-Мрт-24, 19:04 | ||
> Каковы будут дальнейшие рекомендации | ||
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору |
28. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от БуБука (?), 29-Мрт-24, 16:34 | ||
А какой не является? Можно список с аргументами? | ||
Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору |
33. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Пряник (?), 29-Мрт-24, 17:37 | ||
Много ли ты видел pure-python пакетов? | ||
Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору |
37. "PyPI приостановил регистрацию новых пользователей и проектов..." | –1 +/– | |
Сообщение от Аноним (36), 29-Мрт-24, 17:52 | ||
Более сотни - это лишь те, что я полностью сам написал, без учёта превосходящего вклада в чужие пакеты, большая часть из которых pure python. | ||
Ответить | Правка | Наверх | Cообщить модератору |
38. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (36), 29-Мрт-24, 17:56 | ||
под pure python имеется в виду отсутствие компиляции cext или долботни с maturin/setuptools-rust, что пакет можно установить просто распаковкой. Это не означает отсутствие зависимостей от компонентов в native-коде, таких как сам интерпретатор, shared-библиотеки, другие пакеты, jar-файлы, .Net-сборки, ONNX-файлы и т.д. | ||
Ответить | Правка | Наверх | Cообщить модератору |
39. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 29-Мрт-24, 18:11 | ||
Правда, pure python _именно это_ и означает: только интерпретируемый код, без использования нативного (компилируемого) в любом виде, за исключением интерпретатора и его стандартных бинарных компонентов. И, в частности, без таких трюков как освобождение gil на время, пока нативный код исполняется. По этой же причине, такой код является третьесортным -- он просаживается в многопотоке. | ||
Ответить | Правка | Наверх | Cообщить модератору |
40. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (40), 29-Мрт-24, 18:54 | ||
>за исключением интерпретатора и его стандартных бинарных компонентов | ||
Ответить | Правка | Наверх | Cообщить модератору |
73. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Пряник (?), 01-Апр-24, 10:30 | ||
Например, Paramiko не pure-python, потому что зависит от cryptography, написанном на Си. А вот Bottle является одиночным файлом без зависимостей. | ||
Ответить | Правка | Наверх | Cообщить модератору |
72. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Пряник (?), 01-Апр-24, 10:25 | ||
Есть модуль multiprocessing. Между разными процессами GIL не используется. | ||
Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору |
74. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Аноним (5), 01-Апр-24, 10:49 | ||
Зато добавляются накладные расходы, IPC очень дорого и невозможно шарить конекшены допустим. Вообще, я сравнивал на примере requests, намного выгоднее быстрее удобнее и эффективнее взять aiohttp. Раньше приходилось обмазываться pycurl, но, среди прочих недостатков, он не работает с асинхронным кодом и его слишком легко засегфолтить. | ||
Ответить | Правка | Наверх | Cообщить модератору |
75. "PyPI приостановил регистрацию новых пользователей и проектов..." | +/– | |
Сообщение от Пряник (?), 01-Апр-24, 15:05 | ||
Ну так про GIL говорили же. А GIL никак не связан с однопоточной природой Asyncio. | ||
Ответить | Правка | Наверх | Cообщить модератору |
Архив | Удалить |
Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема |
Закладки на сайте Проследить за страницей |
Created 1996-2024 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |