依赖管理

副标题 / 摘要 依赖地狱来自版本冲突、传递依赖与不一致环境。本文给出可落地的治理策略与检查清单。 目标读者 经常被依赖冲突困扰的工程师 维护多模块项目的团队 需要制定依赖策略的技术负责人 背景 / 动机 依赖问题会导致“在我机器能跑，线上不能跑”。 当依赖数量增长，冲突与不确定性会急剧上升。 核心概念 传递依赖：依赖的依赖 版本冲突：不同模块要求不同版本 锁定文件：保证可复现构建 隔离环境：避免全局污染 实践指南 / 步骤 启用锁定文件（如 poetry.lock、package-lock.json） 固定生产依赖版本 隔离环境（virtualenv/containers） 定期升级与审计 减少依赖数量 可运行示例 下面示例检查一个依赖列表中是否存在版本冲突： reqs = ["a==1.0", "b==2.0", "a==2.0"] seen = {} conflicts = [] for r in reqs: name, version = r.split("==") if name in seen and seen[name] != version: conflicts.append((name, seen[name], version)) seen[name] = version print(conflicts) 解释与原理 依赖地狱的本质是“不可控的不一致”。 锁定文件与环境隔离让依赖可复现，减少“运行时惊喜”。 常见问题与注意事项 锁定文件可以不提交吗？ 不建议，锁定文件是可复现构建的基础。 升级依赖很危险吗？ 是，需要有测试与灰度策略。 是否要尽量少依赖？ 是，但不要重复造轮子。 最佳实践与建议 保持依赖清单精简 定期安全审计 使用隔离环境运行 小结 / 结论 依赖地狱无法完全避免，但可以通过锁定、隔离与治理显著降低成本。 ...