pip出现“包裹不匹配哈希”错误

Question

我正在尝试使用pip安装软件包。在这种情况下为OpenCV。但是，我无法安装任何东西。我正在使用python 3.5.3 zh pip 18.0（使用get-pip.py安装）。

无论我如何尝试，命令“ pip install package-name”都会产生以下错误：

  

这些程序包不匹配需求文件中的哈希值。如果您更新了软件包版本，请更新哈希值。否则，请仔细检查包装内的物品；可能有人篡改了他们。       https://www.piwheels.org/simple/opencv-contrib-python-headless/opencv_contrib_python_headless-3.4.3.18-cp35-cp35m-linux_armv6l.whl#sha256=ff894c0cc7c98b05b7b260a1dc462e7ad0a4220b042072fc0134a2b7a92bc4a5的opencv-contrib-python-headless：           预期的sha256 ff894c0cc7c98b05b7b260a1dc462e7ad0a4220b042072fc0134a2b7a92bc4a5                得到了4119d8c56d19ef044c1faca317dd10f2bb3b50cbee77426a22feca9b641c5637

我尝试过的事情：

• 使用“ --no-cache-dir”，这是另一个使用相同问题的建议。
• 重新安装python / pip或尝试其他版本的python。

Answer 1

这是https://pywheels.org/维护人员需要解决的问题。

https://www.piwheels.org/simple/opencv-contrib-python-headless/  包含指向opencv_contrib_python_headless-3.4.3.18-cp35-cp35m-linux_armv6l.whl的链接，URL中嵌入了ff894c0cc7c98b05b7b260a1dc462e7ad0a4220b042072fc0134a2b7a92bc4a5的SHA256。

但是，下载文件时，其 actual SHA256是4119d8c56d19ef044c1faca317dd10f2bb3b50cbee77426a22feca9b641c5637（我自己得到的，因此它不是攻击者在中间徘徊，您的网络连接只是替代恶意软件包）。

这可能意味着，如果攻击者向软件包中注入了恶意软件但未更新校验和，那么恶意篡改仍在继续（可能是直接破坏PyWheels基础设施的人）。安全的做法是与网站所有者联系，并要求他们调查此问题。