第758期：安全、性能优化、itertools 及更多内容（2026-10-27）
内容提要
本期聚焦Python生态安全与性能优化：PSF安全开发者Seth Larson谈Python供应链防御；介绍用timeit定位瓶颈、优化性能的实用指南；讲解用itertools构建高效管道；探讨AI代理中当前记忆与历史记忆的区分。此外，PyPI将版本号限制为128字符，PSF维基在因安全顾虑关闭后重新上线，并介绍uv与ty集成、Python 3.15模块分析工具及用LangGraph构建AI代理。
延伸解读
供应链安全成为 Python 生态的显性议题
本期播客邀请 PSF 安全开发者 Seth Larson，讨论 Python 生态如何应对软件安全与供应链防御。这说明安全已从零散修补上升为生态层面的持续工作。对开发者而言，关注点不应只停留在依赖包是否可用，还应留意上游组织在安全响应、基础设施维护上的投入，因为这些工作直接影响日常依赖的可靠性。
性能优化要先确认瓶颈再动手
文章给出的路径是先借助 timeit 确认瓶颈，再选择能让程序变快的修复方式。这一顺序值得注意：没有测量就优化，容易把时间花在并非热点的代码上。对读者来说，实用价值在于把性能工作拆成“定位—验证—修复”的步骤，而不是凭直觉改写代码，从而降低无效改动的风险。
AI 代理记忆需要区分当前与历史
文中举例：代理存下一条偏好，用户随后更改，向量检索可能同时返回新旧两个版本。解决办法是把新记忆与旧记忆关联，将旧版本标记为历史但仍可访问。这提示构建代理时，记忆管理不只是存储与检索，还要处理版本关系，否则过时信息可能被当作当前事实使用。
PyPI 版本号限制的实际影响很小
PyPI 将版本号限制为 128 字符。文章指出，在约一千万个发布中只有两个版本字符串超过该长度，因此这一改动几乎不影响任何人；新规主要用于让项目页面渲染保持合理，且仅适用于 PyPI，pip、uv 等工具不会强制执行。读者可将其理解为平台侧的展示约束，而非打包规范的收紧。
Q&A
Python 生态如何应对软件供应链安全威胁？
Python 软件基金会（PSF）设有安全开发者驻场职位，本期采访了 Seth Larson，讨论 Python 生态如何适应现代软件安全与供应链防御的形势。
如何用 timeit 定位并优化 Python 性能瓶颈？
实用指南建议先用 timeit 确认性能瓶颈所在，再选择能真正让程序变快的修复方案，从而进行有效的性能优化。
Python 代理中当前记忆和历史记忆有什么区别，如何处理冲突？
当用户改变偏好时，向量搜索可能同时返回新旧两个版本。解决办法是将新记忆与旧记忆关联，把旧记忆标记为历史记忆并保持可访问，从而区分当前记忆与历史记忆。
PyPI 为什么将版本号长度限制为 128 个字符？
在大约 1000 万个发布版本中，只有两个版本的版本字符串超过 128 个字符，因此该限制几乎不影响任何人。新限制主要是为了保持项目页面渲染的合理性，且仅适用于 PyPI，pip 或 uv 等工具不会强制执行。
PSF 维基为什么关闭后又重新上线？
2026 年 2 月，由于过多自动化流量和过时基础设施的安全顾虑，PSF、Python 和 Jython 维基被设为只读。经过大量工作后，它们重新开放，相关文章描述了事件经过。
uv 和 ty 集成后有什么新功能？
实验性的 uv-ty 集成在命令行和编辑器中为 Python 脚本提供一流支持，并引入了统一的 uv check 命令。
Python 3.15 新增的模块分析功能是什么？
Python 3.15 引入了新的模块分析（module profiling），用于组织内置的分析工具。
