conda-forge是否安全？安装PyPDF2触发安全类包更新是否存在风险？

你遇到的安装PyPDF2时同步更新安全相关依赖的情况完全属于conda的正常工作逻辑，无需过度担忧：

• conda 安装软件包时会自动校验全链路依赖的版本兼容性，你本次安装时明确指定了优先使用conda-forge通道，该通道内的PyPDF2依赖的底层运行环境要求与你当前环境中anaconda默认源提供的ca-certificates、certifi、openssl版本不匹配，所以才会触发版本更新、跨通道包替换的操作，和PyPDF2本身的PDF处理功能没有直接关联，并不是PDF处理库主动要修改你的系统安全配置。
• 你收到的SUPERSEDED by a higher-priority channel提示也验证了这一点：openssl的版本号本身没有变化，只是因为你指定了conda-forge的优先级更高，conda将默认源编译的openssl替换成了conda-forge通道编译的同版本包，属于通道优先级触发的正常替换。

conda-forge安全性说明 #

conda-forge是conda生态官方认可的全球最大社区维护软件源，所有包的上传、更新都经过严格的自动化安全扫描和维护者人工审核，整体安全性有足够保障。你查询到的这个PyPDF2包累计下载量超过17万，发布时间已经接近3年，如果存在恶意内容早就会被社区反馈并下架，不存在你担心的恶意投毒问题。

可选优化方案 #

如果你不想修改全局环境的依赖版本，可以先创建独立的conda虚拟环境，再在虚拟环境中执行安装操作，完全不会影响全局环境的配置。如果确实不想使用conda-forge通道的包，也可以通过pip从PyPI安装PyPDF2，使用效果完全一致。

内容的提问来源于stack exchange，提问作者Peter