pipecore-modules-pal — foglalt név (placeholder)

Ez nem működő csomag. A név azért van regisztrálva a publikus PyPI-n, hogy más ne tudja regisztrálni.

A valódi pipecore-modules-pal egy privát csomag, egy privát csomagregisztrációban él, és nem kerül fel a PyPI-ra.

Ha ezt a csomagot telepítetted

Akkor a pip-konfigurációd rossz indexre mutat. A valódi csomagot a privát indexből kell telepíteni. Ez a placeholder üres, semmit nem csinál.

Miért van erre szükség

A --extra-index-url használatakor a pip minden indexből keres, és a legmagasabb verziószámú találatot telepíti — függetlenül attól, melyik indexből jött. Ha egy privát csomag neve szabad a publikus PyPI-n, bárki feltölthet rá egy magasabb verziót, amit aztán az idegen build-rendszerek letöltenek és futtatnak. Ezt hívják dependency confusion támadásnak. A név lefoglalása ezt megelőzi.