如何识别源自第三方分支的Python包崩溃报告？

可以通过以下几种方式精准识别这类非官方构建的崩溃报告：

• 给官方构建添加唯一标识
  在包的核心模块（比如__init__.py）中加入一个仅官方版本才有的静态标识，比如__official_commit_hash__ = "abc123..."，发布时用脚本自动注入当前Git提交的哈希值。崩溃报告收集逻辑里自动带上这个值，收到报告后对比官方发布版本的提交哈希，不一致的就是第三方分支构建。如果是打包成wheel等分发格式，也可以在打包过程中把这个哈希写入元数据，崩溃时读取元数据验证。

• 强化依赖版本校验
  针对依赖模块Y的版本问题，在代码启动阶段主动校验其版本是否符合setup.py中指定的要求。比如用importlib.metadata.version("Y")获取当前依赖版本，和你要求的最低版本对比，若版本过低则抛出明确的自定义异常，并把版本信息写入崩溃报告。这样就能区分是用户未正确安装依赖，还是第三方分支修改了依赖约束导致的问题。

• 给关键报错逻辑加特征标记
  针对行号不符的情况，在官方代码的关键raise语句中加入唯一的特征信息，比如raise ValueError("Invalid configuration [official-build-mark]")。崩溃报告里如果出现的异常描述没有这个标记，或者行号对应的代码内容和官方版本不符，就可以判定是第三方修改过的代码。也可以在发布时生成每个版本的代码哈希清单，崩溃时收集报错代码段的哈希值，和官方清单做对比。

• 尝试收集分支信息（源码运行场景）
  如果用户是直接从Git源码运行你的包，可以在代码里通过git命令或GitPython库读取当前分支名称，将其加入崩溃报告。如果报告里出现非官方的分支名，直接就能确认来源。不过这个方法对打包后的分发版本无效，因为打包后不会包含Git仓库信息。

内容的提问来源于stack exchange，提问作者Seva Alekseyev