PEP 752：软件包存储库的隐式命名空间
内容提要
PEP 752 提出了为软件包存储库保留命名空间前缀的方法，以解决项目所有权验证不足的问题，防止名称抢注和拼写攻击，确保项目在创建新包时能够安全保留名称。通过授权命名空间的保留，组织可以控制软件包命名，促进社区参与，减少依赖混淆的风险。
延伸解读
命名空间保留如何运作
PEP 752 允许组织在包仓库中保留一个或多个命名空间前缀。保留后，任何匹配该前缀的新包上传都必须来自命名空间所有者，否则上传会失败并返回 403 状态码。命名空间可以是开放的，允许任何用户上传新包；也可以是受限的，仅允许所有者上传。此外，仓库可以创建隐藏授权，不公开暴露但阻止他人占用。这种机制在保持扁平命名空间的同时，为组织提供了对包命名的控制权。
对现有生态的影响
该提案采用 NuGet 的命名空间预留方法，具有高度向后兼容性。现有包不受影响，安装器无需修改，只有像 PyPI 这样的索引需要支持新 API。这避免了 NPM 作用域包所需的全面工具链更改。对于已经使用前缀（如 google-cloud- 或 apache-airflow-providers-）的项目，命名空间保留可以正式化其所有权，减少名称抢注和拼写攻击的风险，同时促进社区参与。
安全增强与未来计划
PEP 752 通过防止未授权上传，减少了依赖混淆攻击。它计划未来基于 PEP 740 和 PEP 480 实现加密证明，以验证发布来自命名空间所有者。目前，该提案依赖于仓库的授权机制和 PEP 541 下架请求来处理恶意包。虽然命名空间保留本身不提供加密保证，但它为更强大的所有权验证奠定了基础，并已获得 Apache Airflow、Jupyter、Microsoft 等组织的支持。
Q&A
PEP 752 的主要目的是什么？
PEP 752 的主要目的是为软件包存储库保留命名空间前缀，以解决项目所有权验证不足的问题，防止名称抢注和拼写攻击。
PEP 752 如何防止名称抢注？
PEP 752 通过授权命名空间的保留，确保组织能够控制软件包命名，从而防止名称抢注和拼写攻击。
PEP 752 提出的命名空间保留方法与其他生态系统有何不同？
PEP 752 采用了 NuGet 的命名空间预留方法，允许组织保留一个或多个命名空间，而其他生态系统如 NPM 则使用了不同的作用域包概念。
PEP 752 如何促进社区参与？
通过授权命名空间的保留，组织可以控制软件包命名，鼓励第三方开发者参与发布自己的包，从而促进社区参与。
PEP 752 在安全性方面有哪些考虑？
PEP 752 计划在未来实现基于证明的包所有权验证，以增强安全性，减少恶意包的风险。
PEP 752 如何减少依赖混淆的风险？
PEP 752 通过保留命名空间，确保项目在创建新包时能够安全保留名称，从而减少依赖混淆的风险，特别是对于共享命名空间的项目。
