【Python】PyPIでのトークン認証でハマる

後日談

改めて調べたら、「 __token__ しか使えないよ（意訳）」と説明している記事がありました 0(:3　)～ =͟͟͞͞(’､3)_ヽ)＿

---

プロジェク別のトークンを作ることができるのですが、こんなことを言われます。

• 全プロジェクト共通で __token__ を使おうとすると警告文が表示される。
• 異なるプロジェクトで __token__ を使うことはできない。
  • つまり、全プロジェクト共通で __token__ を使うしかない。

---

１．はじめに

PyPIの認証でトークンを使うほうがあります。が、次のようなエラーになります。

$ ./upload.sh testkana dist/sphinxcontrib.kana_text-0.19.0rc1.tar.gz
Uploading distributions to https://test.pypi.org/legacy/
Uploading sphinxcontrib.kana_text-0.19.0rc1.tar.gz
100%|██████████| 24.1k/24.1k [00:00<00:00, 28.1kB/s]
NOTE: Try --verbose to see response content.
HTTPError: 403 Forbidden from https://test.pypi.org/legacy/
Invalid or non-existent authentication information. See https://test.pypi.org/help/#invalid-auth for more information.

２．現状の結論（2021-09-30）

トークンを使う時のユーザー名は __token__ しか使えない。結果としてプロジェクト別にトークンを使い分けることはできない。

次のメリットがあるので、それでもトークンを使うことにする。

• パスワード長は、本来のユーザー名+パスワードより遥かに長い。
• 本来のユーザー名/パスワードが漏洩するよりも、リスクが限定的。

３．確認したこと

__token__ 以外で、次のパターンを確認したけどNGだった。

• __ で挟む、大文字混在 → NG
• __ で挟む、小文字のみ → NG
• __ で挟む、小文字+5文字以内 → NG
• __ なし、大文字混在 → NG

以上