uv 0.12.16: ตรวจ hash จาก index ก่อนใช้ wheel/sdist

ห่วง supply chain ของแพ็กเกจ Python อยู่ไหมครับ — เมื่อ 17 ก.ย. 2026 Astral ปล่อย uv 0.12.16 ซึ่งโฟกัสการตรวจของที่ดาวน์โหลดมา

ตรวจ hash ของ wheel และ sdist กับค่าที่ package index ส่งมา ก่อนนำมาใช้
อนุญาตให้ใส่ hash ใน build-constraint-dependencies เพื่อยืนยัน build deps ที่ดาวน์โหลด
เคารพ Darwin platform_release ใน required-environments ตาม deployment target ของวงล้อ macOS
ปฏิเสธ Git URL scheme ที่ไม่รองรับตอนอ่าน lockfile — ไม่ panic ตอน frozen export
แก้การโชว์ Azure SAS ในล็อก (redact), กัน panic จาก proxy URL / credentials แปลก ๆ
เพิ่ม Pyodide รุ่นใหม่ในสาย Python ที่ uv จัดการได้

คู่กับ 0.12.17 ที่ออกวันรุ่งขึ้น (โพสต์แยก) — ทีมที่ยังอยู่ 0.12.15 ควรอัปทีเดียวไปอย่างน้อย 0.12.17 เพื่อได้ทั้ง hash check และบั๊กฟิกซ์ตาม

Recap