PyPI는 중국에서 작동하나요? 데이터 레지던시, ICP, 국경 간 규칙
귀사의 비공개 Python 패키지는 으레 자격 증명과 API 토큰을 임베드하는 독점 코드이고, PyPI(pypi.org)는 그것을 호스팅하지 않습니다 — 그래서 그것은 해외 비공개 레지스트리에 앉고 귀사 중국 빌드의 의존성 공급망은 국경 너머로 돕니다. 레지던시·공급망 노출과 국내 자체 호스팅 비공개 인덱스 레버를 컴플라이언스 우선으로 살펴봅니다.
PyPI는 중국에서 작동하나요?
중국에서 PyPI를 결정하는 질문은 pip install이 인덱스에 도달하느냐가 아니라 — 귀사의 비공개 패키지와 그 안에 구워진 비밀이 어디에 살도록 허용되는가입니다. PyPI(pypi.org, Python Software Foundation의 공개 인덱스)는 비공개 패키지를 호스팅하지 않으므로, 귀사 독점 코드는 해외 비공개 레지스트리에 앉고 귀사 중국 빌드의 의존성 공급망은 국경 너머로 돕니다: 성능이 아니라 레지던시·공급망 문제.
귀사 비공개 배포는 내부 SDK, 클라이언트 라이브러리, 빌드 로직 — 독점 소스 코드, 즉 영업 비밀 — 이고 으레 자격 증명·API 토큰·설정을, 때로는 테스트 픽스처 개인 데이터를 임베드합니다. PyPI가 "비공개 패키지 게시를 지원하지 않"으므로, 그 응축된 코드와 비밀은 호스팅 비공개 레지스트리(흔히 해외 벤더 클라우드)나 귀사가 돌리는 서버에 살고, pip는 기본적으로 "https://pypi.org/simple"에서 빌드를 해석합니다. 비공개 패키지가 중국 사용자 개인 데이터를 임베드하는 곳에서 그것을 해외에 두는 것은 PIPL상 국경 간 이전(제38~40조)이고, CIIO·대량 취급자에게는 본토 내 저장 의무(사이버보안법 제39조, 구 제37조)가 붙습니다. 합법적 레버는 비공개 패키지·산출물·비밀을 국내 자체 호스팅 비공개 인덱스에 두는 것이지 공개 엔드포인트를 접속 가능하게 만드는 것이 아닙니다; ICP 비안은 스택 앞단의 앱에 떨어집니다.
이는 판정이 아니라 리스크 지도입니다 — 어느 이전 메커니즘이 맞고 국내화 의무가 적용되는지는 귀사 법인·데이터 규모·누구의 데이터인지에 따라 달라집니다. 저희 중국 팀이 귀사의 노출을 지도화합니다 →
컴플라이언스 스냅샷
- ! 비공개 Python 패키지는 독점 코드 — 공개 의존성이 아니라 영업 비밀
- ! 비공개 휠은 으레 자격 증명·API 토큰·설정 비밀을 임베드함
- ! PyPI는 공개 인덱스; 비공개 패키지를 호스팅하지 않으므로 그것은 다른 곳에 앉음
- ! 기본적으로 pip는 귀사 중국 빌드를 pypi.org에서 해석 — 해외 공급망
- ✓ 합법적 경로: 국내에 비공개 인덱스 자체 호스팅; 코드와 비밀을 거주형으로 유지
PyPI 공식 문서가 중국에 대해 말하는 것
| 사실 | 1차 출처 |
|---|---|
| PyPI는 공개 인덱스이고 비공개 패키지를 호스팅하지 않습니다 — 그래서 귀사 독점 코드는 다른 곳에 삽니다. "내 비공개 패키지를 PyPI에 어떻게 게시하나?"라는 질문에 PyPI Help 페이지는 답합니다: "PyPI does not support publishing private packages."(PyPI는 비공개 패키지 게시를 지원하지 않는다.) 그 인덱스는 "by the Python Software Foundation and Python community, for the Python community"(Python Software Foundation과 Python 커뮤니티가, Python 커뮤니티를 위해) 유지되고 중국 본토 밖에서 제공됩니다. 비공개 패키지에 대해 PyPI 자체 권장 경로는 "run your own deployment of the devpi project"(devpi 프로젝트의 자체 배포를 돌리기)이고, 가용성을 위해 "consider either a mirror or a private index"(미러나 비공개 인덱스를 고려)하라는 것 — 그러니 귀사 비공개 패키지는 호스팅 비공개 레지스트리(흔히 해외)나 귀사가 돌리는 서버에 앉습니다. | PyPI — Help (Python Software Foundation), pypi.org, 2026-10-13 열람 |
| 귀사 중국 빌드의 의존성 공급망은 기본적으로 해외에서 해석됩니다 — 그리고 귀사 자신의 국내 인덱스로 겨눌 수 있습니다. pip의 문서화된 기본 인덱스는 "Base URL of the Python Package Index (default https://pypi.org/simple)"(Python Package Index의 기본 URL, 기본값 https://pypi.org/simple), 해외 엔드포인트이고, 비공개 패키지는 "--extra-index-url"로 추가하는 인덱스에서 옵니다. Python Packaging User Guide는 자체 호스팅 경로를 확인합니다: "If you wish to host your own simple repository … you can either use a software package like devpi."(자체 simple 저장소를 호스팅하려면 devpi 같은 소프트웨어 패키지를 쓸 수 있다.) 그러니 어떤 코드가 어디서 귀사 본토 배포에 들어오는지는 거버넌스할 수 있습니다 — 국내 자체 호스팅 인덱스가 공급망을 거주형으로 유지합니다. | pip documentation — pip install (pip.pypa.io); Python Packaging User Guide — Hosting your own index (packaging.python.org), 2026-10-13 열람 |
| 비공개 패키지가 중국 사용자 개인 데이터를 임베드하는 곳에서, 그것을 해외에 저장하는 것은 PIPL상 국경 간 이전입니다. 비공개 배포와 테스트 픽스처는 개인 데이터를 나를 수 있습니다; 그런 패키지를 해외 레지스트리에 채우거나 호스팅하는 것은 PIPL 제38~40조를 촉발합니다 — 처리자(PyPI가 아니라 귀사)는 고지하고, 별도 동의를 받으며, 하나의 이전 메커니즘(CAC 안전성 평가, 표준계약, 또는 인증)을 충족해야 합니다. 개인정보 보호법과 PIPL상의 국경 간 데이터 이전을 보세요. | PIPL 제38~40조; 중국 국경 간 데이터 이전 규칙, 2026-10-13 열람 |
| 일부 취급자에게 데이터는 중국에 머물러야 하고 — 해외 비공개 레지스트리는 그것을 둘 국내 자리가 없습니다. 핵심정보인프라 운영자, 또는 규제 규모 임계치 이상의 취급자는 중국에서 수집된 개인 데이터를 본토에 저장해야 합니다(PIPL 제40조; 사이버보안법 제39조, 구 제37조; 2026년 1월 1일 발효한 2025년 개정이 37을 39로 재번호, 실질 내용은 불변). 국내 해법은 본토 인프라의 자체 호스팅 비공개 인덱스로, 비공개 패키지·산출물·비밀을 거주형으로 유지하는 것입니다. | PIPL 제40조; 사이버보안법 제39조(구 제37조), 2026-10-13 열람 |
21YunBox 컴플라이언스 팀이(가) 2026년 10월 13일에 출처를 확인했습니다.
중국을 향한 엔지니어링 팀에게 PyPI에 관한 결정적 질문은 pip install이 상하이에서 인덱스에 도달할 수 있느냐가 아니라 — 귀사의 비공개 패키지와 그 안에 구워진 비밀이 어디에 살도록 허용되는가입니다. pypi.org의 Python Package Index는 Python Software Foundation이 운영하는 공개 커뮤니티 인덱스이고, 오픈소스 의존성이 공유되는 곳입니다. 귀사 자신의 패키지는 전혀 다른 것입니다: 내부 SDK, 공유 클라이언트 라이브러리, 빌드·배포 로직, 기능 모듈 — 독점 소스 코드, 따라서 영업 비밀. 그 비공개 배포는 으레 자격 증명·API 토큰·연결 문자열·설정을 임베드하고, 때로는 테스트 픽스처 개인 데이터를 나릅니다. 세 갈래가 답을 결정합니다: 귀사 비공개 패키지가 독점 코드 더하기 임베드된 비밀이라는 것; 그 응축된 코드와 비밀이 물리적으로 어디에 자리 잡는지; 그리고 귀사 중국 빌드의 의존성 공급망 — 어떤 코드가 어디서 귀사 본토 배포에 들어오는지. 공개 인덱스의 도달 가능성은 축이 아닙니다.
한눈에 보는 중국에서의 PyPI
| 무엇이 결정하나 | PyPI 자신의 표현 — 그리고 중국의 법 |
|---|---|
| 귀사 비공개 패키지가 무엇인가 | 커뮤니티 의존성이 아니라 — 귀사 자신의 내부 SDK, 클라이언트 라이브러리, 빌드 로직, 기능 모듈. 그것은 독점 소스 코드: 한곳에 응축된 영업 비밀. |
| 그것이 나르는 것 | 비공개 배포는 으레 자격 증명·API 토큰·연결 문자열·설정을, 때로는 테스트 픽스처 개인 데이터를 임베드합니다. 빌드 산출물은 좀처럼 그냥 코드가 아닙니다. |
| 그것이 사는 곳 | PyPI는 “비공개 패키지 게시를 지원하지 않”으므로, 귀사 비공개 패키지는 다른 곳에 — 호스팅 비공개 레지스트리나 피드(흔히 해외 벤더 클라우드), 또는 귀사가 돌리는 서버에 — 앉습니다. PyPI 자체 권장 경로는 “devpi 프로젝트의 자체 배포를 돌리는 것”입니다. |
| 귀사 중국 빌드의 공급망 | pip는 기본적으로 “https://pypi.org/simple”에서 해석합니다 — 해외 — 그리고 귀사는 비공개 인덱스를 --extra-index-url로 추가합니다. 어떤 코드가 귀사 본토 배포에 들어오는지, 그 출처와 무결성은 국경 간 공급망 질문입니다. |
| 법 | 비공개 패키지가 중국 사용자 개인 데이터를 임베드하거나 귀사 처리가 개인 데이터를 수반하는 곳에서, 해외 저장은 국경 간 이전(PIPL 제38~40조)이고, CIIO·대량 취급자에게는 본토 내 저장 의무(PIPL 제40조; 사이버보안법 제39조, 구 제37조)가 붙습니다. |
| 도달 가능성은 축이 아니다 | 공개 인덱스를 그저 접속 가능하거나 미러링되게 만드는 것은 귀사 비공개 패키지나 그 비밀을 국내로 옮기지 않습니다. 합법적 레버는 국내 자체 호스팅 비공개 인덱스입니다; ICP 비안은 인덱스가 아니라 스택 앞단의 앱에 떨어집니다. |
비공개 Python 패키지가 실제로 무엇인가 — 독점 코드, 그 안에 비밀과 함께
귀사가 pypi.org에서 당기는 의존성은 남의 오픈소스 코드입니다. 귀사 자신의 팀이 게시하는 패키지는 반대입니다: 내부 SDK, 공유 데이터 접근 라이브러리, 귀사 빌드·릴리스 도구, 결코 오픈소스화할 의도가 없는 제품 모듈. 그것은 독점 소스 코드이고, 법은 응축된 비공개 소스를 영업 비밀로 다룹니다. 레지던시에 더 나쁘게, 비공개 배포는 좀처럼 순수 로직이 아닙니다. 팀은 설정, 구워진 API 토큰이 있는 서비스 클라이언트, 연결 문자열과 자격 증명, 그리고 실제 개인 데이터를 담을 수 있는 테스트 픽스처를 묶습니다. 그러니 비공개 패키지 인덱스는 편의 캐시가 아니라 — 귀사 지식재산과 비밀의 응축된 저장소입니다. 그 저장소가 물리적으로 어디에 자리 잡는지는 데이터 레지던시 결정이고, PyPI는 설계상 그것이 자리 잡는 곳이 아닙니다.
귀사 비공개 패키지가 사는 곳 — 그리고 PyPI는 그곳이 아닌 이유
PyPI는 공개 인덱스이고, 자체 표현으로 그렇게 말합니다. 그 Help 페이지는 “내 비공개 패키지를 PyPI에 어떻게 게시하나?”라는 질문에 단 하나의 평이한 문장으로 답합니다: “PyPI does not support publishing private packages.”(PyPI는 비공개 패키지 게시를 지원하지 않는다.) pypi.org의 인덱스는 오픈소스 배포를 커뮤니티와 공유하기 위해 존재합니다; 그것은 Foundation 자체 푸터로 “by the Python Software Foundation and Python community, for the Python community”(Python Software Foundation과 Python 커뮤니티가, Python 커뮤니티를 위해) 유지되고, 중국 본토 밖에서 전 세계로 제공됩니다. 귀사 비공개 패키지가 거기 살 수 없으므로 다른 어딘가에 살고 — 그 “어딘가”가 노출입니다. 대부분의 팀은 호스팅 비공개 레지스트리나 피드에 안착하는데, 그것은 귀사 독점 코드와 그 임베드된 비밀이 벤더의 해외 클라우드에 앉는다는 뜻입니다: 해외의 데이터 레지던시·영업 비밀 응축. PyPI 자체 안내는 반대쪽을 가리킵니다 — 비공개 패키지에 대해 “the recommended solution is to run your own deployment of the devpi project”(권장 해법은 devpi 프로젝트의 자체 배포를 돌리는 것)이고, 가용성을 위해 “consider either a mirror or a private index”(미러나 비공개 인덱스를 고려)하라고 합니다. 도달 가능성 점검은 이 중 어느 것도 보지 못합니다. 그것은 엔드포인트가 응답하는지 묻습니다; 귀사 독점 코드와 비밀이 해외에 세워져 있다는 것은 볼 수 없습니다.
귀사 중국 빌드의 의존성 공급망은 국경을 넘는다
대부분의 팀이 놓치는 두 번째 절반은 출처입니다. pip install은 공급망입니다: 귀사 본토 빌드가 배포를 해석·당기고, 당기는 것이 귀사가 중국에서 배포하는 것의 일부가 됩니다. pip 자체 기본이 그 형태를 분명히 합니다 — 인덱스는 “Base URL of the Python Package Index (default https://pypi.org/simple)”(Python Package Index의 기본 URL, 기본값 https://pypi.org/simple), 해외 엔드포인트 — 이고 비공개 패키지는 귀사가 --extra-index-url로 추가하는 인덱스에서 옵니다. 공개와 비공개 인덱스가 둘 다 해외에 앉으면, 모든 빌드가 귀사 중국 배포에서 돌 바로 그 코드 — 그리고 바로 그 비밀 — 를 위해 국경 너머로 손을 뻗고, 그 무결성과 출처를 이제 국경 간 링크를 가로질러 추론해야 합니다. 컴플라이언스 질문은 “빌드가 패키지를 빠르게 해석할 수 있나”가 아니라 “어떤 코드가 어디서 내 중국 배포에 들어오고, 그러는 동안 내 비공개 패키지와 비밀이 어디에 자리 잡는가”입니다.
도달 가능성 점검이 이 모든 것을 놓치는 이유
벤치마크와 “중국에서 떠 있나” 점검은 컴플라이언스를 결정하는 것과 다른 질문에 답합니다. 엔드포인트가 빠르게 응답해도 귀사 자세는 여전히 틀릴 수 있는데, 속도와 가용성은 거주성에 관해 아무것도 말하지 않기 때문입니다. 레지스트리 미러나 캐시는 공개 패키지의 가용성을 개선합니다 — 정당한 공급망 조치 — 그러나 귀사 비공개 패키지나 그 임베드된 비밀을 국내로 옮기지 않고, 귀사 독점 코드가 어디에 자리 잡는지는 바꾸지 않습니다. 여기서 축은 레지던시와 공급망입니다: 귀사 비공개 배포·빌드 산출물·자격 증명·모든 임베드된 개인 데이터가 본토에 머무느냐, 그리고 귀사 중국 빌드에 들어오는 코드가 귀사가 거버넌스하는 국내 출처에서 오느냐. 그것들이 바로 도달 가능성 테스트가 볼 수 없는 것 — 그리고 바로 국내 자체 호스팅 비공개 인덱스가 다루는 것입니다.
이는 판정이 아니라 리스크 지도입니다: 국내화 의무가 적용되는지, 어느 국경 간 메커니즘이 맞는지는 귀사 법인, 개인 데이터를 얼마나 보유하는지, 누구의 것인지에 따라 달라집니다 — 빌드하기 전에 구체적인 사항을 법률 자문과 정하세요.
합법적 경로 — 진단, 현지화, 전송
PyPI는 오픈소스 의존성의 귀사 공개 출처로 남습니다; 아무것도 재구축되거나 마이그레이션되지 않습니다. 21YunBox가 더하는 것은 귀사 비공개 패키지와 빌드 주위의 컴플라이언스·전송 계층입니다.
- 진단(map). 저희는 귀사 패키지 중 어느 것이 비공개인지 — 귀사 독점 코드 — 그것이 자격 증명·토큰·개인 데이터를 임베드하는지, 그 비공개 레지스트리가 오늘 어디에 호스팅되는지, 그리고 귀사 중국 빌드의 의존성 공급망이 어떻게 해석되는지를 목록화합니다.
- 현지화(localize). 저희는 귀사가 비공개 패키지·빌드 산출물·그 비밀을 국내 자체 호스팅 비공개 인덱스(예: 본토 인프라의 자체 관리 devpi, Nexus 또는 Artifactory)를 돌려 거주형으로 유지하고, 귀사 중국 빌드를 그것으로 겨누며, 국경을 넘는 것을 최소화하도록 돕습니다 — 그래서 독점 코드와 임베드된 비밀이 본토에 머뭅니다. 그것을 국내에 두는 것은 바로 그것을 뜻하며; 21YunBox는 어떤 형태의 우회도 쓰거나 권하지 않습니다.
- 전송(deliver). 그 패키지 위에 구축된 애플리케이션은 ICP 비안 의무를 지고 규정에 맞는 국내 전송이 필요합니다 — 21YunBox Optimizer, 귀사가 이미 돌리는 스택 앞단에, 재구축 없이.
21YunBox는 규정에 맞는 오버레이이자 파트너이지 PyPI나 어떤 패키지 레지스트리 도구의 경쟁자가 아닙니다. 목표는 단순합니다: 귀사 Python 빌드와 그 뒤의 비공개 패키지가 중국 팀에게 합법적이고 규정에 맞게 돌아가고, 귀사 독점 코드와 비밀이 법이 원하는 곳에 있는 것.
함께 읽기:
자주 묻는 질문
pip install이 중국에서 작동하게 만드는 것이 PyPI 컴플라이언스에 충분한가요?
아니요 — 도달 가능성은 축이 아닙니다. 공개 인덱스가 본토에서 응답하는지는 귀사 비공개 패키지·빌드 산출물·임베드된 비밀이 어디에 머무는지, 또는 귀사 중국 빌드에 들어오는 코드가 어디서 오는지에 관해 아무것도 말하지 않습니다. PyPI 자체가 비공개 패키지를 호스팅하지 않으므로, 귀사 독점 코드는 호스팅 비공개 레지스트리(흔히 해외 벤더 클라우드)나 귀사가 돌리는 서버에 삽니다. 컴플라이언스 질문은 레지던시와 공급망입니다: 비공개 패키지·산출물·비밀을 국내에 두고, 어떤 코드가 귀사 본토 배포에 들어오는지 거버넌스하기. 국내 자체 호스팅 비공개 인덱스가 둘 다 다룹니다; 공개 패키지의 미러나 캐시는 가용성만 개선합니다.
우리 비공개 Python 패키지는 실제로 어디에 살고, 왜 그것이 레지던시 문제인가요?
pypi.org에는 아닙니다. PyPI Help 페이지는 평이하게 "PyPI는 비공개 패키지 게시를 지원하지 않는다"고 하므로, 비공개 배포는 호스팅 비공개 레지스트리나 피드 — 흔히 벤더의 해외 클라우드 — 또는 귀사가 직접 배포하는 서버로 갑니다. 그 비공개 패키지는 독점 소스 코드(영업 비밀)이고 으레 자격 증명·API 토큰·설정을, 때로는 테스트 픽스처 개인 데이터를 임베드합니다. 해외에 응축되면 그것은 데이터 레지던시·영업 비밀 노출이고, 개인 데이터가 임베드된 곳에서는 PIPL상 국경 간 이전입니다. 깔끔한 해법은 그 저장소를 국내 자체 호스팅 비공개 인덱스에 두는 것입니다.
21YunBox가 우리 비공개 Python 인덱스를 중국에서 규정에 맞게 돌리도록 도울 수 있나요?
네. 저희 중국 팀은 귀사 패키지 중 어느 것이 비공개인지, 그것이 자격 증명·토큰·개인 데이터를 임베드하는지, 그 레지스트리가 오늘 어디에 호스팅되는지, 그리고 귀사 중국 빌드가 의존성을 어떻게 해석하는지 지도화한 다음 — 귀사가 비공개 패키지·산출물·비밀을 국내 자체 호스팅 비공개 인덱스(예: 본토 인프라의 자체 관리 devpi, Nexus 또는 Artifactory)를 돌리고 빌드를 그것으로 겨눠 거주형으로 유지하도록 돕습니다, 공개 의존성은 PyPI를 떠나지 않고. 그다음 스택 앞단의 애플리케이션에 ICP 비안 국내 전송을 세웁니다, 재구축 없이. 귀사의 구체적인 사례를 함께 살펴보려면 문의하세요.
