Python ABI兼容性：问题有多严重？
TL;DR：Trail of Bits开发了abi3audit工具，用于检测Python包中的CPython应用二进制接口(ABI)违规问题。我们发现数百个不一致或错误标记的包分发版本，每个都可能因未检测到的ABI差异导致崩溃或可利用的内存破坏。该工具已在宽松开源许可下公开。
Python打包生态的复杂性
Python拥有超过40万个独特软件包，其打包生态的复杂性体现在：
- 两种主要打包格式（源码分发和wheel）
- 多种打包工具（setuptools/flit/poetry等）
- 多种依赖规范文件（pyproject.toml/setup.py等）
CPython稳定API与ABI
CPython提供两种原生交互机制：
- C API：允许C/C++程序调用公开功能
- ABI：允许任何支持C ABI的语言（如Rust/Golang）链接解释器
扩展模块虽能提升性能，但默认存在版本兼容问题。为此CPython引入了稳定ABI（称为"abi3"），通过文件名标记（如mymod.abi3.so）。但问题在于：Python解释器会完全忽略这个标签。
打包过程中的三重问题
- 构建阶段：需设置Py_LIMITED_API宏，但容易遗漏且无警告
- 标记阶段：setuptools的py_limited_api=True仅修改文件名，不验证实际兼容性
- 打包阶段：wheel模块的–py-limited-api参数仅控制文件名，不影响实际构建
abi3audit审计结果
我们对PyPI最近21天下载量前357个abi3包进行审计，发现：
- 15%的包存在ABI版本不匹配
- 3.1%的包存在严重ABI违规
- 典型案例：PyQt6/sip等知名包存在版本声明不符问题
改进建议
- 加强构建工具链的验证机制
- 完善打包文档规范
- 建议PyPI集成自动化审计
- 开发者应使用abi3audit进行自检
热门加密包（如cryptography）表现良好，但整体生态问题凸显工具链改进的紧迫性。该研究表明自动化审计能有效发现潜在内存安全问题。