Dependency Lock
Validiert eine strikte Lockdatei mit exakt gepinnten Python-Versionen, SHA-256-Hashes und kontrollierten Paketregeln vor Build und Installation.
Für Betreiber und Entwickler, die Python-Abhängigkeiten vor dem Release syntaktisch streng, reproduzierbar und auditierbar sperren möchten.
Welches Problem löst das Modul?
Wenn Python-Pakete nicht auf eine genaue Version festgelegt sind, kann dieselbe Installation morgen anderen Code laden als heute. Dadurch entstehen plötzlich neue Fehler oder unbemerkte Änderungen in einem zuvor getesteten Bot. Dependency Lock akzeptiert nur ausdrücklich freigegebene, exakt festgelegte Pakete mit SHA-256-Prüfwerten und blockiert unsichere Abkürzungen wie direkte Download-Links oder offene Versionsbereiche. So bleibt nachvollziehbar, welche Abhängigkeiten in einem Kundenpaket installiert werden sollen.
Für welche Börsen ist es geeignet?
- Exchange-neutraler Python-Kern ohne direkten Börsenzugriff und ohne API-Schlüssel
- Mit Bitget, Binance, Bybit, OKX und anderen Börsen nutzbar, wenn der Bot den dokumentierten Datenvertrag erfüllt
- Für BTC, ETH und andere Symbole sowie Long und Short geeignet, soweit die Eingangsdaten vollständig sind
- Der kundenseitige Adapter bleibt für bestätigte Exchange-Daten, Vorzeichen, Einheiten und Reconciliation verantwortlich
- Keine pauschale Plug-and-play-Garantie für jede Börse, API-Version, Kontoart oder Bot-Struktur
Nur exakt gepinnte und gehashte Pakete dürfen die Build-Pipeline erreichen.
Das Modul akzeptiert bewusst nur name==version mit SHA-256-Hashoptionen. Editierbare Installationen, Direkt-URLs, Indexoptionen, Versionsbereiche und Inline-Kommentare werden blockiert; normalisierte Paketkonflikte bleiben sichtbar.
- 01Lockdatei aus bewusst freigegebenen Versionen erzeugen
- 02Zeilen ohne inhaltliche Veränderung an Validator übergeben
- 03Pinning, Hashpflicht und Paketregeln prüfen
- 04Bei BLOCKED Build vor Installation abbrechen
- 05Pakete anschließend mit Hashprüfung installieren
- 06Lock, SBOM, Scans und Build-Artefakt gemeinsam archivieren
Was das Modul technisch übernimmt
- Strikte Einzeilen-Grammatik für exakt gepinnte Pakete
- Verpflichtende SHA-256-Hashes je Paket
- Mehrere zulässige Hashes mit Deduplizierung
- Python-konforme Normalisierung von Paketnamen
- Erkennung identischer und widersprüchlicher Duplikate
- Konfigurierbare Paket-Sperrliste
- Optional vollständige Kommentarzeilen
- Issue-Ausgabe mit Zeilennummer ohne Roh-URL-Leak
- Fail-closed Laufzeiteingaben
Was Sie nach dem Kauf erhalten
- Versioniertes Python-Paket 1.0.0 mit vollständig typisierter öffentlicher API
- Deterministischer exchange-neutraler Kern ohne externe Laufzeitabhängigkeiten
- Vollständige deutsche Produkt-, Einbau-, Betriebs-, Fehlerbehebungs- und Abnahmeanleitung
- Beispielkonfiguration und ausführbares Integrationsbeispiel
- 22 automatisierte Tests mit 100,00 Prozent Statement- und Branch-Coverage
- Ruff- und Mypy-strict-geprüfter Quellcode mit PEP-561-Marker
- Reproduzierbarer Wheel- und Source-Distribution-Build
- Kunden-ZIP mit geprüfter SHA-256-Prüfsumme, Lizenz, Changelog und Kontrollbericht
Technische Voraussetzungen
- Bewusst erzeugte Lockdatei mit einer Abhängigkeit je Zeile
- SHA-256-Hashes der tatsächlich freigegebenen Distributionen
- Gemeinsame Versionierung von Lockdatei und Quellcommit
- Vertrauenswürdiger Paketindex und Installer mit Hashprüfung
- Separater SBOM-, Lizenz- und Vulnerability-Scan
- Vier-Augen-Review jeder Dependency-Änderung
Klare Grenzen
- Keine transitive Dependency-Auflösung
- Keine Verifikation, ob ein Hash zur heruntergeladenen Datei passt
- Keine Sicherheits-, Lizenz- oder Maintainer-Bewertung
- Keine Unterstützung für Extras, Marker oder Direkt-URLs
- Installer und Index benötigen eigene Vertrauensgrenzen
- Persönliche Build-Integration bleibt separate Leistung
Was nicht enthalten ist
- Kein Paketinstaller
- Kein Vulnerability-Scanner
- Kein SBOM-Generator
- Keine Lizenzfreigabe
- Keine automatische Lockdatei-Erzeugung
- Keine Supply-Chain-Garantie
Die vollständige Anleitung kommt mit dem Modul.
Die öffentliche Seite erklärt Funktion, Lieferumfang und Grenzen. Nach dem Kauf enthält das Paket den vollständigen Code und jeden Einbauschritt. Falls der vorhandene Bot keinen passenden Order-Adapter besitzt, kann persönliche Integration separat angefragt werden.