PyPI releases now reject new files after 14 days

PyPI 现在拒绝向发布超过 14 天的版本追加新文件，维护者需要创建新版本号。规则缩短了攻击者接管旧项目后悄悄补发恶意 wheel 的窗口，也让同一版本随时间变化的情况更少。对构建流水线而言，这强化了版本不可变性，但会改变延迟补齐平台包的发布习惯。