以后使用`pip install`命令的时候要小心了

[kunimi]

有人往PyPI上传了一些和标准库的名字很类似的模块。这些模块代码和标准库的相同，不过在 installation script 包含了一些"malicious (but relatively benign) code."

原文链接： https://arstechnica.com/information-technology/2017/09/devs-unknowingly-use-malicious-modules-put-into-official-python-repository/

文末有PyPI的官方申明，其中提到了他们并没有全职员工来维护，所以就算要解决这个问题估计也要很久。推荐听听Episode #64: Inside the Python Package Index来了解下PyPI背后的故事。

[hotsnow]

那如何避免呢。。。

[a87150]

年中的时候就有了吧
http://blog.fatezero.org/2017/06/01/package-fishing/

[Cooky]

@hotsnow 完全按照官方的安装步骤来

[qq12345454]

这个问题确实有些麻烦

[HGladIator]

记得有人这样钓过鱼，还分析了一下

[Keyes]

这些人太招人烦，又咬人又膈应人

[yongzhong]

还有一种 pip 投毒,也很恶心

[scriptB0y]

坑啊，只能小心点从官方复制粘贴了 自己打字都瑟瑟发抖

[hduwzy]

还有一种 pip 投毒,也很恶心

[exiahan]

系统上能管理包的只有发行版自带的包管理器，其他的什么 npm，pip 一律都不给 root，Python 的搞 virtualenv，装死了也不怕（ ・∀・）

[shiny]

确实遇到过记错包名字的情况，比如多个 s

[shiny]

此外，如果写篇教程故意打错包名…… 细思极恐。

[monsterxx03]

生产环境的都统一做成 deb，放进自己的源的

[abmin521]

@exiahan npm -g 必须 sudo 吧

[zonghua]

@exiahan 执行个`rm -rf / `

[exiahan]

@abmin521 非要 global 安装那就没办法了。。我宁愿多装几次占点空间也不愿意让有 root 权限的包管理器超过两个。。

[exiahan]

@zonghua 你来吧，搞完了记得手机拍个照(　･ิω･ิ)

[lrxiao]

emmm 最近刚看到 rust 瞬间修复了 crates.io 的包隐含恶意代码的信息

[lrxiao]

这居然修不好了

[rashawn]

@abmin521 不用啊 随便安在个什么地方就可以