Ce projet DevSecOps porte sur une décision concrète : quels octets de dépendances peuvent entrer dans une construction utile. Vous réparerez un outil de tarification de billets, puis appliquerez la même méthode à un comptoir de matériel pour ateliers.
Deux laboratoires guidés présentent le choix des sources et les empreintes de toutes les dépendances. Le défi indépendant modifie les relations entre paquets tout en conservant les mêmes outils et le contrat d’installation.
Ce que vous apprendrez
- Identifier les dépendances directes et indirectes et expliquer pourquoi un second index pip n’est pas un secours moins prioritaire.
- Reconstruire les paquets approuvés dans des environnements Python séparés et livrer une liste de prix complète et correcte.
- Refuser des fichiers wheel de mêmes nom et version mais d’octets différents grâce à des empreintes approuvées indépendamment.
- Préserver les miroirs légitimes, les chemins entre guillemets, le comportement applicatif et les commandes d’origine.
À qui s’adresse ce cours
Aux débutants DevSecOps sachant utiliser cd, cat, les commandes élémentaires du terminal et modifier un petit fichier texte. Aucune programmation Python, utilisation de Docker ou compte cloud n’est nécessaire. Le premier laboratoire explique les environnements virtuels, les options pip et la courte recette Shell employée.
Environnement d’apprentissage : Chaque laboratoire démarre indépendamment avec Python, pip, des fichiers wheel synthétiques originaux et des sources locales préparés dans un terminal Linux accessible par navigateur.
Questions fréquentes
Faut-il publier ou attaquer un paquet public ?
Non. Toutes les sources et tous les paquets sont contrôlés dans l’environnement. Les substituts ne changent que les calculs d’exemple.
Une empreinte correspondante prouve-t-elle la sécurité d’un paquet ?
Elle prouve que les octets correspondent à l’approbation fournie indépendamment. Elle n’identifie pas l’éditeur et ne garantit pas l’absence de vulnérabilités.
Quel est le livrable ?
Une recette réutilisable, l’environnement approuvé réel et un CSV correct. Le défi doit aussi refuser les substitutions directes et indirectes tout en acceptant les miroirs inchangés.
