python - 为什么pip会阻止安装可能不安全且无法验证的文件？

我尝试使用pip安装pybgpdump，但pip抛出以下错误。

pip install pybgpdump
Downloading/unpacking pybgpdump
  You are installing a potentially insecure and unverifiable file. Future versions of pip will default to disallowing insecure files.
  Error <urlopen error [Errno 1] _ssl.c:504: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed> while getting https://jon.oberheide.org/pybgpdump/downloads/pybgpdump-0.2.tar.gz (from https://jon.oberheide.org/pybgpdump/)
Cleaning up..

为什么pip会尝试验证pybgpdump软件包？

安全文件和不安全文件有什么区别？

最佳答案

因为从pip版本1.3开始，https是默认协议。

在CHANGES.txt中：

**1.3 (2013-03-07)**

* SSL Cert Verification; Make https the default for PyPI access.
  Thanks James Cleveland, Giovanni Bajo, Marcus Smith and many others (:pull:`791`, CVE-2013-1629).

并且由于pybgpdump托管在外部服务器（https://jon.oberheide.org/pybgpdump/）上，并且您没有安装正确的证书。

另请注意，pypi软件包索引仅包含pybgpdump的版本0.1，而最新版本为0.2。

关于python - 为什么pip会阻止安装可能不安全且无法验证的文件？，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/29132800/