هرچیزی رو pip install نزنید

برای همه دوستان چه تازه کار چه حرفه‌ای (که نحوه عملکرد رو نمی‌دونند)

هرچیزی رو pip install نزنید
هر پکیجی رو استفاده نکنید

این جمله ادامه داره : “برای هر چیزی توی پایتون ی پکیج وجود داره” بله وجود داره ولی ادامه‌اش مهمتره (شما حق نصبش رو ندارید.
انقدر ادامه این جمله استفاده نشده که چندسالی هست ما توی شرکت از Docker و … برای حتی محیط توسعه استفاده می‌کنیم (به لطف vscode که دیگه راحت‌تر هم شده)

دلیل خوبی هم داریم :
pip (pypi.org)
هیچ چک امنیتی روی کدها نداره و شما هرچیزی رو می‌تونید بعنوان پکیج ارسال کنید
برای همین نباید از هر کتابخونه‌ای استفاده کنید.
اگر کتابخونه معروف نیست (چندنفر توسعه دهنده نداره) حتما سورس کدهاش رو بخونید و ترجیحا خودتون به اندازه نیاز بازنویسی کنید؛ یا اینکه روی همون ورژن خاصی که بررسی کردید بمونید و در زمان نیاز به آپدیت پکیج سورس نسخه جدید رو مجددا بررسی کنید.

(این شرایط برای باقی زبان‌های این تیپی هم وجود داره)
خلاصه که ی پکیج میتونه شامل :
Keylogger, Trojan, ….
هم باشه؛ در صورت نفوذ دولوپر شخصی هست که باید پاسخگو باشه.

منبع: https://t.me/pytens