使用pip安装git存储库是否安全？

Question

可以使用pip命令从git仓库安装软件包，例如：pip install git+https://github.com/...

但是在生产环境中这样做是否安全？有没有方法可以保护该软件包不被删除，而无需fork它、自行托管并合并未来更新？

- chrickso

---

你说的“保护免受删除”的意思是什么？你无法控制软件作者对其存储库的操作，也无法控制软件作者对其PIP包的操作。 - Niklas B.

我只是在想象各种情况，这个仓库可能会发生任何事情（用户被禁止、删除账户、移除仓库），那么我将无法再访问它。使用PyPi上的包似乎更能保护免受某些情况的影响。也许我错了... - chrickso

Git是分散式的，所以没有人会阻止你克隆代码库。在Git中合并上游更改非常简单，只需要一个命令行指令（你可以通过cron或其他方式运行它）。 - Niklas B.

Answer 1

不，它并不是100％“安全”的，当你需要checkout源代码时，github可能会出现问题，作者可能会删除存储库（或对其进行某些破坏性更改）等等。

使用pip，您可以在存储库链接中指定修订版或标记。

例如：git+git://github.com/misterx/projectname.git@840d25bb9db9fbc801b9

这将检出修订版840d25bb9db9fbc801b9，无论新版本如何，因此您不会遇到未知的更新（损坏的）代码。

我通常所做的就是克隆项目（除非我想与主干保持同步）到我的github账户或其他地方。

- Tommaso Barbugli