uv 0.13.7 çıktı: uv audit ve workspace düzeltmeleri

Python paket yöneticisi uv’nin 0.13.7 sürümü 3 Kasım 2026’da yayımlandı. Sürümde iki preview özellik, altı hata düzeltmesi ve bir dokümantasyon düzeltmesi var.

uv nedir, ne işe yarar?

uv, Rust ile yazılmış bir Python paket ve proje yöneticisidir. Bağımlılık kurulumunu, sanal ortam yönetimini, lock dosyası üretimini ve Python sürümlerinin kurulmasını tek bir araçta topluyor. Geliştirici makinelerinde ve CI pipeline’larında kullanılıyor. pip, pip-tools, Poetry ve pipx gibi araçların yerine geçecek biçimde tasarlandı.

uv 0.13.7’de öne çıkanlar

Bu release’te breaking change ya da kaldırılan özellik yok. Notun çoğu hata düzeltmesi. İki yenilik de preview statüsünde.

• uv audit, aliased OSV kayıtlarını artık tek bir güvenlik açığı olarak raporluyor. Aynı açık farklı kimliklerle birden çok satırda görünmüyor. CI raporunda açık sayısını eşik olarak kullanıyorsanız sayı düşebilir.
• uv workspace metadata komutuna --output-version geldi. Çıktıyı script ile okuyan araçlar belirli bir şema sürümü isteyebiliyor.
• uv init ve uv add ile eklenen workspace member yolları artık glob pattern değil, literal olarak işleniyor. Dizin adında glob karakteri geçen monorepo’larda yanlış eşleşme riski kalkıyor.

Preview özellikler sonraki sürümlerde değişebilir. Pipeline’da bunlara bağımlı bir adım yazacaksanız uv sürümünü sabitleyin.

Geliştirici makinesi ve Windows tarafı

Windows’ta uv’nin trampoline’leri artık devralmadığı handle’ları kapatmıyor. Sürüm numarasında local identifier taşıyan CPython build’leriyle uvx çalışıyor. Adı rakamla başlayan paketli projelerde uv init geçerli bir modül adı üretiyor. uv add bir inline dependency group’u güncellerken çevresindeki yorumları koruyor. Boş bir inline tool.uv.sources tablosu artık uv remove komutunu durdurmuyor.

Kurulum ve artifact doğrulama

Kurulum için sürüm notundaki script yeterli:

curl --proto '=https' --tlsv1.2 -LsSf https://releases.astral.sh/github/uv/releases/download/0.13.7/uv-installer.sh | sh

Binary’yi elle indirip build image’ına koyuyorsanız GitHub Artifact Attestations kaydını doğrulayın:

gh attestation verify <indirilen-dosya> --repo astral-sh/uv

uv 0.13.7 güvenlik yaması içermiyor. Acil bir yükseltme gerekmiyor. uv audit çıktısını CI’da kullanan ekipler için en anlamlı değişiklik tekrar eden OSV kayıtlarının birleşmesi. Bu ekipler uv 0.13.7’ye bir sonraki bağımlılık güncellemesinde geçebilir.

Proje sayfası: astral-sh/uv