What’s missing to have reproducible builds on PyPI

文章拆解 PyPI 从同一源码重建相同 wheel 尚缺的协议：完整描述输入与工具链、重建隔离环境、生成可比较证明，并让索引承载验证元数据。源码归档或 lock file 都覆盖不了编译器、系统库、时间戳和平台标签。可复现发布需要构建前端、后端、PyPI 与独立验证者共同协作，问题远超给单个项目补一条构建命令。