Quoting Seth Larson — PyPI 禁止向超过14天的旧版本上传新文件，防止供应链投毒。

• PyPI 现在拒绝向超过14天的旧版本上传新文件，防止攻击者利用泄露的令牌或工作流篡改稳定版本。
• 此漏洞尚未被利用，但缺乏技术屏障，攻击者可能已意识到其存在。
• 对开发者意味着需要更严格的令牌管理和自动化流程，避免依赖旧版本的安全假设。

原文：Quoting Seth Larson · 作者 Simon Willison