Controllerò il tuo uv lockfile di python contro le attestazioni firmate di pypi

Sai se i pacchetti Python che distribuisci sono stati effettivamente creati dai repository da cui affermano di provenire? Questa verifica controlla che per ogni pacchetto nel tuo uv.lock, usando le registrazioni di pubblicazione firmate (attestazioni Sigstore) che PyPI già conserva.

Ottieni una riga per ogni pacchetto: quante file pinne contengono una registrazione firmata, il repository indicato nella firma, il repository dichiarato dal pacchetto e un verdetto (MATCH, MISMATCH, NO-REPO-DECLARED, UNATTESTED, VERIFY-FAILED o SKIPPED). Ogni firma viene verificata rispetto all'hash esatto del file che il lock pinna, quindi un file diverso da quello firmato viene segnalato come fallimento. Opzionale: un controllo contro la tua lista di repository attesi, un test più forte rispetto a fidarsi solo dei metadati del pacchetto. Inoltre, una breve lettura scritta dei pacchetti non firmati e con mismatch e cosa fare per ciascuno, e una ri-verifica dopo le tue modifiche entro 30 giorni.

Ciò di cui ho bisogno: il tuo uv.lock. Niente viene installato o eseguito dal tuo progetto; l'audit legge solo il lock e i record pubblici di PyPI.

Limiti: MATCH è un controllo di coerenza, non una prova che un pacchetto sia sicuro. Gli indici non-PyPI sono elencati come SKIPPED. I file lock di pip e Poetry non sono ancora supportati.