Re: pip et mise à jour de sécurité

Page principale

Répondre à ce message
Auteur: Jérôme Kieffer
Date:  
À: guilde
Sujet: Re: pip et mise à jour de sécurité
Salut,

Je suis dev' python depuis 10 ans et l'ecosystem de packaging de python
s'est grandement amélioré depuis... par contre c'est vrai que c'est
redondant avec le packaging systeme et que cela reste une "moving target":
par exemple avec la PEP517-518 qui déprécie l'usage de setuptools, tout
notre systeme de compilation va s'effondrer d'ici à python 3.12 et il
va falloir tout refaire mais on a pas encore les outils pour le faire.
Stressant un peu pour nous deroutant pour beaucoup: je comprends ton point de vue.

1. je suis tout a fait d'accord avec toi que le top pour une mise en
prod' de code, c'est les paquets systeme (deb, rpm). Tu déploies et ca
marche, par contre personne ne fait de paquets (troll inside). Un autre
probleme c'est que les paquets ne sont pas portables d'une distrib à
l'autre.

2. en tant que dev', je suis content de pouvoir avoir plusieurs
environnement distincts pour tester, donc oui pip et venv, j'utilise
tout le temps pour mon travail, mais je respecte mes utilisateurs en ne
leur imposant pas "ma methode de travail".

3. la limite de pip et des venv se rencontre quand on veut plusieurs
python installés (on supporte 3.6 - 3.10) ou alors qu'on veut changer
les librairies systeme. C'est là qu'entre conda en jeu: des
environnement virtuels mais version "lourd" 5G/environnement.
Un point positif, il y a du packaging automatique dans conda-forge:
j'ai taggué une release hier et ce matin, j'ai la PR de prete pour
inclusion dans la distrib. Ca tombe bien, j'en ai besoin la semaine
prochaine. Pas forcément possible avec Debian.
https://github.com/conda-forge/fabio-feedstock/pull/44

4. Comme les sysadmin veulent avoir le même environnement sur les
systemes centos, ubuntu et debian, il préfèreraient qu'on leur
fournisse des image docker (ou singularity dans mon cas precis)

En conclusion, tu avais un dilemme à 2 choix, maintenant tu en as 4. Désolé.

Bon Trolldi

Jérôme

On Fri, 3 Jun 2022 07:38:06 +0200
Patrice Karatchentzeff <patrice.karatchentzeff@???> wrote:

> Salut,
>
> De plus en plus de projets sont gérés à base de pip (ou nm) pour la
> facilité que cela occasionne aux développeurs. Je comprends
> parfaitement leur point de vue... Je ne cherche pas à introduire un
> débat sur l'éco-système ^Wbord^Wde mer^W de Python :)
>
> Cependant, d'un point de vue système, et donc déploiement en prod,
> c'est très largement discutable.
>
> Je n'ai pas trouvé de solution qui satisfasse les deux mondes.
>
> Est-ce que quelqu'un a une idée ou une expérience à partager ?
>
> Merci de vos retours,
>
> PK
>
> -- 
>       |\      _,,,---,,_           Patrice KARATCHENTZEFF
> ZZZzz /,`.-'`'    -.  ;-;;,_   mailto:patrice.karatchentzeff@gmail.com
>      |,4-  ) )-,_. ,\ (  `'-'
>     '---''(_/--'  `-'\_)

>