На первый взгляд — крутой проект на GitHub, обещающий ускорение Python в десятки раз. По факту — странный бинарник без исходников, нереалистичные бенчмарки и токсичный автор, удаляющий комментарии.
🚩 Что должно вызывать тревогу
🟠 DLL или .so в репозитории: бинарники без исходников — плохой знак. Даже если «можно проверить антивирусом» — это не защита. Свежие вредоносы легко обходят AV.
🟠 Проект выдается за Python, но на деле — просто обёртка над C++ с сомнительным качеством кода и новизной автора.
🟠 Фантастические бенчмарки: когда обещают, что «в 10 раз быстрее Pandas» — это требует доказательств и воспроизводимых тестов.
🟠 Удаление комментариев и агрессивное поведение: нет открытого диалога, только эмоции, эмодзи и попытка стереть негатив.
🟠 Нарушения базовых практик: даже элементарные ошибки в Python-коде (например, вывод ошибок в stdout вместо stderr), что странно для C++-разработчика.
PyPI и GitHub больше не гарантируют безопасность
Теперь важен не только open source, но и open build chain:
— есть ли CI/CD?
— как собираются бинарники?
— воспроизводим ли релиз?
Как обезопасить себя:
— Не ставьте
pip install с непроверенных проектов— Всегда читайте исходники перед установкой, особенно если есть нативный код
— Используйте виртуальные окружения или Docker для тестов
— Сканируйте зависимости через safety или pip-audit
А вы проверяете код, прежде чем ставить библиотеку с GitHub? Кто должен проверять (PyPI / GitHub или же пользователь)?
— ❤️ Всегда
— 😁 Только если мало звёзд
— 👍 Кто вообще так делает, просто pip install
Библиотека питониста #междусобойчик