Ik audit je python uv lockfile tegen pypi ondertekende attestaties

Weet je of de Python-pakketten die je verzendt daadwerkelijk zijn gebouwd vanuit de repositories waarvan ze beweren te komen? Deze audit controleert dat voor elk pakket in je uv.lock, met behulp van de ondertekende publicatiegegevens (Sigstore attestaties) die PyPI al bijhoudt.

Je krijgt één rij per pakket: hoeveel pinned files een ondertekend record bevatten, de repository die in de handtekening wordt genoemd, de repository die het pakket declareert, en een verdict (MATCH, MISMATCH, NO-REPO-DECLARED, UNATTESTED, VERIFY-FAILED of SKIPPED). Elke handtekening wordt gecontroleerd op de exacte file hash die je lock pinnt, dus een bestand dat afwijkt van degene die ondertekend is, wordt als een mislukking weergegeven. Optioneel: een controle tegen je eigen lijst van verwachte repositories, een sterkere test dan vertrouwen op pakketmetadata. Plus een korte schriftelijke beoordeling van de ondertekende en niet-ondertekende pakketten en wat je eraan kunt doen, en een hercontrole binnen 30 dagen na je wijzigingen.

Wat ik nodig heb: je uv.lock. Niets wordt geïnstalleerd of uitgevoerd vanuit je project; de audit leest alleen de lock en de openbare records van PyPI.

Beperkingen: MATCH is een consistentiecontrole, geen bewijs dat een pakket veilig is. Niet-PyPI indexen worden als SKIPPED gemarkeerd. pip en Poetry lockfiles worden nog niet ondersteund.