Eu vou auditar seu arquivo uv lock do python contra as attestations assinadas do pypi

Você sabe se os pacotes Python que você envia foram realmente construídos a partir dos repositórios de onde afirmam vir? Essa auditoria verifica isso para cada pacote no seu uv.lock, usando os registros de publicação assinados (attestations do Sigstore) que o PyPI já mantém.

Você recebe uma linha por pacote: quantos arquivos pinados possuem um registro assinado, o repositório nomeado na assinatura, o repositório declarado pelo pacote e um veredicto (MATCH, MISMATCH, NO-REPO-DECLARED, UNATTESTED, VERIFY-FAILED ou SKIPPED). Cada assinatura é verificada contra o hash exato do arquivo que seu lock pinou, então um arquivo diferente do assinado aparece como uma falha. Opcional: uma verificação contra sua própria lista de repositórios esperados, um teste mais forte do que confiar apenas nos metadados do pacote. Além disso, uma leitura rápida por escrito dos pacotes não assinados e com discrepâncias, com recomendações do que fazer em cada caso, e uma re-verificação após suas mudanças dentro de 30 dias.

O que preciso: seu uv.lock. Nada é instalado ou executado do seu projeto; a auditoria lê apenas o lock e os registros públicos do PyPI.

Limites: MATCH é uma verificação de consistência, não uma prova de que um pacote é seguro. Índices que não sejam do PyPI são listados como SKIPPED. arquivos de lock do pip e Poetry ainda não são suportados.