使用及分发作者下架的Python pip包是否合规？解决方案咨询

合规性判定 #

• 已通过官方公开渠道合法获取包本地副本的用户，后续继续使用不存在合规问题。clusterensembles原发布版本绑定MIT开源许可，这类许可授予的使用权是永久、非排他的，不会因为作者后续主动下架公开分发渠道就收回此前已授权的合法使用权限，只要用户没有篡改包内容、没有违反原许可条款，继续本地使用完全符合行业规则与开源许可约定。
• 非商业场景下，向合法持有副本的用户索要、互相分享包副本的行为合规。MIT许可允许被授权人再分发软件副本，仅要求分发时保留原版权与许可声明即可。需要明确禁止的行为包括：将获取的副本重新上传至公共包仓库冒充原作者发布、篡改包源码后冒用原作者名义传播、将副本用于商业盈利性分发，上述行为会构成侵权。

• 短期应急方案：从可信渠道获取包的官方最后发布版本的wheel包或源码包，校验文件哈希与原PyPI公开的最后版本哈希值一致后，作为项目内部私有依赖留存。在Google Colab环境中可以通过上传本地依赖文件、挂载个人云存储依赖路径的方式直接安装，对应安装命令为pip install 本地包存放路径/clusterensembles-xxx.whl，不会影响现有项目的正常运行。
• 长期风险规避：由于作者已删除账号且联系无回应，该依赖后续不会有安全更新与bug修复，存在长期供应链风险。建议抽时间梳理该包的核心逻辑：其核心实现的CSPA、MCLA、HGPA等聚类集成算法均有公开学术论文支撑，可根据项目需求要么寻找功能对齐的其他开源依赖替代，要么自行复现核心逻辑封装为项目内部工具模块，彻底消除单点依赖失联的风险。
• 合规补充：如果后续需要公开发布项目成果、开源项目代码，只需在第三方依赖声明中附上该包的原版权信息与原MIT许可文本，即可满足许可要求。

内容的提问来源于stack exchange，提问作者user12171041