Cargo научился не брать зависимости, опубликованные недавно

В Cargo появилась настройка, запрещающая подключать зависимости, опубликованные совсем недавно. Значение задаётся глобально и работает даже в общесистемной конфигурации.

Зачем нужна такая настройка

Обнаружение вредоносного пакета занимает время. Обычно счёт идёт на часы или дни: пакет появляется, кто-то его ставит, кто-то замечает странное поведение, сообщает, пакет удаляют.

В это окно вредоносный код успевает попасть в сборки. Причём не обязательно туда, где его запускали намеренно: достаточно, чтобы зависимость обновилась при обычной пересборке.

Ограничение по возрасту закрывает окно: пакет должен пролежать в реестре какое-то время, прежде чем его разрешат использовать. За это время его находят и удаляют.

Как это выглядит в коде

Значение по умолчанию отсутствует — то есть настройка не включена. Задаётся она в конфигурации Cargo, в том числе на уровне системы, что позволяет организации запретить свежие пакеты для всех проектов на машине разом.

Отдельно обрабатывается случаи, когда без свежей версии сборка невозможна: тогда ограничение обходится явно, и это отметка в файле сборки о том, что автор осознанно пошёл на исключение.

Оригинал

resolver: Stabilize min-publish-age