第759期：Pillow漏洞、JIT移除、安全及其他（2026-11-03）
内容提要
Pillow 修复严重漏洞：特制 EPS 文件可致代码执行，13.0.0 版已解决。CPython 实验性 JIT 将按 PEP 836 从主分支移除。Google 采用 Pyrefly 做类型检查，显著提速并降低构建资源。Polars 2.0 默认流式处理、类型更严格。另有 Django 静态站点构建、Python 与 Go 对比、2026 类型调查等文章及多个开源项目发布。
延伸解读
Pillow 漏洞的直接影响与升级建议
文章指出 Pillow 存在一个严重漏洞：特制的 EPS 文件可导致代码执行。这意味着任何使用 Pillow 处理用户上传图片的应用都可能面临远程代码执行风险，尤其是允许 EPS 格式的场景。Pillow 13.0.0 已修复该问题及其他若干缺陷。对于依赖图像处理的服务，应优先检查当前版本并规划升级，同时评估是否必须支持 EPS 这类高风险格式。
CPython 实验性 JIT 被移除的意味
PEP 836 已被撤回，实验性 JIT 将从 CPython 主分支移除。这并不代表 Python 放弃性能优化，而是表明该实验路线未达到预期或不再适合继续维护。对普通开发者而言，日常代码不受影响；但关注 Python 底层性能演进的人需要留意，官方后续可能转向其他优化方向。文章回顾了 JIT 的历程，并提及未来仍有可能的举措。
Polars 2.0 默认行为变化带来的迁移风险
Polars 2.0 将流式处理设为默认，并引入更严格的类型检查，旨在让惰性查询更快且无需改代码。但新默认值可能影响现有工作流，例如连接顺序变化和类型检查变严，后者能捕获静默精度损失。升级前应重点测试依赖连接顺序和隐式类型转换的管道，避免因默认行为改变导致结果偏差或性能回退。
Google 采用 Pyrefly 的示范效应
Google 用 Pyrefly 替换原有类型检查基础设施，为工程师和智能体带来显著提速，同时大幅降低构建系统计算资源。这说明类型检查工具的选择不仅影响开发体验，也直接关系到 CI 成本和规模化效率。结合 2026 年类型调查中类型检查器选择发生明显变化，团队在选型时可关注工具的性能与资源开销，而非仅看功能。
Q&A
Pillow 最近修复了什么严重漏洞？
Pillow 修复了一个严重漏洞：特制的 EPS 文件可能导致代码执行。该问题已在 Pillow 13.0.0 版本中解决，同时修复了其他几个问题。
CPython 的实验性 JIT 为什么被移除？
根据 PEP 836（该 PEP 已被撤回），CPython 的实验性 JIT 将从主分支中移除。文章讨论了 JIT 的发展历程以及未来可能的情况。
Google 用什么工具替代了原有的类型检查基础设施？效果如何？
Google 采用 Pyrefly 进行类型检查，替代了之前的类型检查基础设施。这为工程师和智能体带来了显著的速度提升，同时大幅减少了构建系统的计算资源消耗。
Polars 2.0 有哪些主要变化？
Polars 2.0 默认启用流式处理，使惰性查询更快且无需修改代码，但新的默认设置可能影响现有工作流。文章比较了 1.x 和 2.0 版本，涵盖流式性能、溢写到磁盘、连接顺序变化以及更严格的类型检查（可捕获静默精度损失）。
如何用 Django 构建静态站点？
结合三个库：nanodjango、django-nanopages 和 django-distill，只需几行代码即可创建一个静态站点生成器。这样无需学习新工具，利用已有的 Django 知识即可。
2026 年 Python 类型调查的主要发现是什么？
2026 年 Python 类型调查结果显示，类型提示的使用情况有所变化，但类型检查器的选择发生了显著变化。
