Artifactory作为PyPI代理的包白名单配置问题求助

精准匹配包名的正确模式 #

Artifactory的PyPI代理模式匹配依赖PyPI的实际请求路径（结构为/simple/<小写包名>/），而非单纯匹配包名，调整模式即可解决现有问题：

• 精准匹配numpy：使用**/simple/numpy/**，既限定了唯一包名路径，**又能匹配该包下所有版本的文件，避免误匹配numpyx这类相似包。
• 大小写问题：PyPI返回的请求路径统一为小写包名，所以模式必须用小写，比如**/simple/cython/**才能匹配Cython。
• 横杠处理：直接写完整包名路径即可，比如**/simple/pyproject-metadata/**就能匹配pyproject-metadata，之前的问题是未指定simple/路径前缀。

实现版本固定 #

Include/Exclude Patterns无法直接控制版本，但可通过**仓库规则（Repository Rules）**实现：

• 新建规则，类型选择「Allow」，匹配模式使用**/simple/numpy/*1.26.0/**（替换为目标版本），即可限制仅安装该版本的numpy。
• 若需批量控制多个包版本，可通过Artifactory REST API批量导入规则。

批量维护Include/Exclude Patterns #

Web界面无直接导入导出功能，但可通过REST API批量管理：

1. 执行GET /api/repositories/<你的PyPI代理仓库名>获取当前配置，提取includesPattern字段（多模式用分号分隔）。
2. 修改该字段后，执行PUT /api/repositories/<你的PyPI代理仓库名>提交更新，即可批量添加/修改白名单模式。

增强功能的插件/工具 #

• JFrog Xray：配合Artifactory使用，可在白名单基础上添加安全扫描，同时管控允许的包版本。
• 本地PyPI仓库：将白名单包同步到Artifactory本地PyPI仓库，要求开发者仅从本地仓库安装，实现更严格的权限管控。

替代方案（若上述方法仍不满足） #

• DevPi：专为Python包设计的仓库工具，白名单、版本锁定功能更贴合Python生态。
• Nexus Repository Manager：PyPI模式匹配规则更直观，支持精准的包名和版本组合匹配。
• pip-tools + 内部镜像：用pip-compile生成固定版本的requirements文件，配合内部镜像限制仅安装指定包版本，适合轻量管控场景。

内容的提问来源于stack exchange，提问作者Zak