Homebrew 6 强制第三方仓库信任验证
推荐指数 64.0 NO. 014 · 2026.06.12
发布2026/06/11Score591Comments141
为什么值得看
Homebrew 6.0.0 引入 tap trust 安全机制，要求用户显式信任第三方仓库才能执行其 Ruby 代码，同时推出更快更小的内部 JSON API 和 Linux 沙箱支持。对 AI 工程师而言，这意味着长期依赖的 brew install 工作流需要更新脚本，CI/CD 流水线可能因信任提示中断。
编辑判断
第三方 tap 一直是 Homebrew 生态的暗面，之前任何人都能 push 恶意 Ruby 代码到 tap 里，用户 brew install 时毫无感知地执行。这次信任机制相当于把 npm 的 supply chain 教训提前堵上了，但代价是自动化脚本会批量挂掉。
如果你用 Homebrew 管理 MLOps 环境（比如通过 brew bundle 同步 PyTorch、CUDA 工具链），需要立刻检查有没有依赖非官方 tap，特别是那些 fork 出来的科学计算包。macOS 27 的提前支持倒是意外之喜，Apple Silicon 的 AI 开发者可以少踩一个系统升级坑。
社区反馈
意见分歧 140 条评论
核心争论：安全升级与用户体验的平衡：强制信任机制是否过度打破原有工作流
Awesome! Thank you for the update. I noticed that homebrew updated _all_ my casks when running 'brew upgrade' (even those with "auto_updates: true" in their Cask JSON API). Is this intended, new default behavior? This did not use to happen...
You need to set HOMEBREW_NO_UPGRADE_AUTO_UPDATES_CASKS to 1, as alluded to by a hint when it (first?) occurs. This means if you have hints off (via HOMEBREW_NO_ENV_HINTS) then I suspect you can start getting this behavior without warning which is a bummer. See also: https://docs.brew.sh&#x
This means if you have hints off (via HOMEBREW_NO_ENV_HINTS) then I suspect you can start getting this behavior without warning which is a bummer. When you instruct the system not to tell you things, the system not telling you those things is a bummer? If I could get more of the tech I interact with