第192集：依赖管理

开篇引言

欢迎来到《Python零基础从入门到实战》的第192集！在前一集中，我们学习了虚拟环境的创建和管理，这为项目隔离提供了基础。然而，仅仅有隔离的环境还不够，我们还需要有效地管理项目所依赖的各种第三方库。

想象一下，如果没有良好的依赖管理，你的项目可能会遇到这些问题：

• 团队成员安装了不同版本的库，导致代码无法运行
• 部署到生产环境时发现缺少某些依赖
• 升级某个库后，意外地破坏了其他功能
• 不知道项目到底依赖哪些库，难以重现环境

今天，我们将学习如何科学地进行依赖管理，让项目的依赖关系清晰、可控、可重现。

学习目标

通过本集的学习，你将：

1. 理解依赖管理的重要性和挑战
2. 掌握requirements.txt的使用方法
3. 学会使用pip-tools管理复杂依赖
4. 了解Pipfile和Pipfile.lock的现代方案
5. 掌握依赖版本冲突的解决策略
6. 学会安全地管理和审计依赖

什么是依赖管理？

依赖管理的核心概念

依赖管理是指在软件开发过程中，系统地跟踪、记录、安装和更新项目所需的外部库和包的过程。

依赖的类型

1. 直接依赖：项目代码中直接import的库
2. 间接依赖：直接依赖库所依赖的其他库（传递性依赖）
3. 开发依赖：仅在开发环境需要的库（如测试框架、代码检查工具）
4. 生产依赖：运行时必需的库

依赖管理的挑战

# 示例：依赖地狱的场景
# 项目A需要 requests==2.25.1
# 项目B需要 requests==2.28.0
# 同时安装会导致版本冲突！

# 更复杂的情况：
# pandas 1.3.0 需要 numpy>=1.17.3,<1.21.0
# matplotlib 3.5.0 需要 numpy>=1.17
# scipy 1.7.0 需要 numpy>=1.16.5,<1.23.0
# 如何找到一个满足所有条件的numpy版本？

requirements.txt：经典方案

基础用法

requirements.txt是最经典、最广泛使用的依赖声明文件。

创建requirements.txt

# 方法1：导出当前环境的所有包
pip freeze > requirements.txt

# 方法2：手动编写
cat > requirements.txt << EOF
requests==2.28.1
flask==2.2.2
pandas==1.5.2
numpy==1.23.5
EOF

requirements.txt格式详解

# 精确版本（推荐用于生产环境）
requests==2.28.1
flask==2.2.2

# 兼容版本范围
numpy>=1.21.0,<1.24.0
pandas>=1.4.0

# 不指定版本（不推荐）
beautifulsoup4

# 从Git仓库安装
git+https://github.com/user/repo.git@main#egg=my_package

# 从本地路径安装
-e ./local_package/

# 平台特定依赖
pywin32; sys_platform == 'win32'
futures; python_version < '3.0'

演示：requirements.txt管理

让我们通过一个实际例子来演示：

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""
dependency_manager.py - 依赖管理演示
演示如何使用requirements.txt管理项目依赖
"""

import subprocess
import sys
import os
from pathlib import Path

class DependencyManager:
    """依赖管理器"""
    
    def __init__(self, requirements_file="requirements.txt"):
        self.requirements_file = requirements_file
        self.dev_requirements_file = "requirements-dev.txt"
    
    def create_basic_requirements(self):
        """创建基础的requirements.txt"""
        basic_deps = """
# 基础Web开发框架
flask==2.2.2

# HTTP客户端
requests==2.28.1
urllib3>=1.26.0,<2.0.0

# 数据处理
pandas==1.5.2
numpy==1.23.5

# 配置管理
python-dotenv==0.21.0

# 日志
loguru==0.6.0

# 开发工具
black==22.8.0
flake8==5.0.4
"""
        
        with open(self.requirements_file, 'w', encoding='utf-8') as f:
            f.write(basic_deps.lstrip())
        
        print(f"✓ 已创建 {self.requirements_file}")
        return True
    
    def create_dev_requirements(self):
        """创建开发环境依赖文件"""
        dev_deps = """
# 继承自基础依赖
-r requirements.txt

# 测试框架
pytest==7.1.2
pytest-cov==3.0.0
pytest-mock==3.10.0

# 调试工具
ipdb==0.13.9
werkzeug==2.2.2  # Flask的调试工具

# 类型检查
mypy==0.982

# 文档生成
sphinx==5.1.1
"""
        
        with open(self.dev_requirements_file, 'w', encoding='utf-8') as f:
            f.write(dev_deps.lstrip())
        
        print(f"✓ 已创建 {self.dev_requirements_file}")
        return True
    
    def install_requirements(self, dev=False):
        """安装依赖"""
        req_file = self.dev_requirements_file if dev else self.requirements_file
        
        if not os.path.exists(req_file):
            print(f"✗ 文件 {req_file} 不存在")
            return False
        
        print(f"正在安装 {req_file} 中的依赖...")
        try:
            subprocess.check_call([
                sys.executable, "-m", "pip", "install", "-r", req_file
            ])
            print("✓ 依赖安装成功")
            return True
        except subprocess.CalledProcessError as e:
            print(f"✗ 安装失败: {e}")
            return False
    
    def check_conflicts(self):
        """检查依赖冲突（简化版）"""
        print("\n检查依赖冲突...")
        
        try:
            # 获取已安装的包及其依赖关系
            result = subprocess.run(
                [sys.executable, "-m", "pip", "check"],
                capture_output=True,
                text=True
            )
            
            if result.returncode == 0:
                print("✓ 未发现依赖冲突")
            else:
                print("⚠ 发现依赖冲突:")
                print(result.stdout)
            
            return result.returncode == 0
        except Exception as e:
            print(f"检查冲突时出错: {e}")
            return False
    
    def show_dependency_tree(self, package_name):
        """显示包的依赖树"""
        print(f"\n{package_name} 的依赖树:")
        try:
            result = subprocess.run(
                [sys.executable, "-m", "pip", "show", package_name],
                capture_output=True,
                text=True
            )
            
            if result.returncode == 0:
                # 解析pip show的输出
                info = {}
                for line in result.stdout.split('\n'):
                    if ':' in line:
                        key, value = line.split(':', 1)
                        info[key.strip()] = value.strip()
                
                print(f"  名称: {info.get('Name', 'N/A')}")
                print(f"  版本: {info.get('Version', 'N/A')}")
                print(f"  依赖: {info.get('Requires', '无')}")
                print(f"  位置: {info.get('Location', 'N/A')}")
            else:
                print(f"  未找到包 {package_name}")
        except Exception as e:
            print(f"获取依赖信息时出错: {e}")

def demo_requirements_workflow():
    """演示requirements.txt工作流程"""
    print("="*60)
    print("依赖管理工作流程演示")
    print("="*60)
    
    manager = DependencyManager()
    
    # 步骤1：创建requirements文件
    print("\n1. 创建依赖文件")
    manager.create_basic_requirements()
    manager.create_dev_requirements()
    
    # 显示文件内容
    print("\n2. 查看 requirements.txt 内容:")
    with open(manager.requirements_file, 'r', encoding='utf-8') as f:
        print(f.read())
    
    # 步骤3：安装依赖（仅演示，实际不执行）
    print("\n3. 安装命令（演示）:")
    print(f"   pip install -r {manager.requirements_file}")
    print(f"   pip install -r {manager.dev_requirements_file}")
    
    # 步骤4：检查依赖
    print("\n4. 依赖管理最佳实践:")
    practices = [
        "✓ 始终锁定生产环境的具体版本号",
        "✓ 区分开发环境和生产环境的依赖",
        "✓ 定期更新依赖并检查安全性",
        "✓ 使用pip-tools或poetry等工具管理复杂依赖",
        "✓ 在CI/CD中验证依赖安装",
        "✓ 备份requirements文件到版本控制"
    ]
    
    for practice in practices:
        print(f"   {practice}")
    
    return manager

if __name__ == "__main__":
    demo_requirements_workflow()
    
    # 交互式部分
    print("\n" + "="*60)
    print("实践练习")
    print("="*60)
    
    print("\n练习1：创建你自己的requirements.txt")
    print("1. 确定你的项目需要哪些库")
    print("2. 为每个库选择合适的版本约束")
    print("3. 区分生产依赖和开发依赖")
    print("4. 使用 pip freeze > requirements.txt 验证")
    
    print("\n练习2：解决依赖冲突")
    print("1. 故意安装冲突的版本")
    print("2. 使用 pip check 检测冲突")
    print("3. 调整版本约束解决冲突")
    
    print("\n提示：")
    print("- 版本约束符号说明：")
    print("  == 精确版本")
    print("  >= 最低版本")
    print("  <= 最高版本")
    print("  ~= 兼容版本（允许修订号变化）")
    print("  >,< 范围约束")