Pipfile.lock不生效的根本原因是未正确使用它：pipenv install默认读Pipfile而非锁文件，只有执行pipenv install（无额外标志）或pipenv sync才真正按锁文件安装；常见误操作包括改Pipfile后只运行pipenv install、删掉锁文件、CI中未确保dev依赖已锁定。
为什么 Pipenv 生成的 Pipfile.lock 有时不生效？
根本原因不是锁文件没生成，而是你没用它——pipenv install 默认只读 Pipfile，只有加 --ignore-pipfile 或显式运行 pipenv install --skip-lock 才会跳过锁文件。真正生效的前提是：项目目录下存在有效的 Pipfile.lock，且你执行的是 pipenv install（无额外标志）或 pipenv sync。
常见误操作：
- 直接改 Pipfile 后只运行 pipenv install，看似装了新包，实则仍按旧锁文件还原环境
- 把 Pipfile.lock 提交到 Git 但本地删了它，结果每次 pipenv install 都重新解析依赖、生成新锁文件，失去确定性
- 在 CI 中用 pipenv install --dev 却没确保 Pipfile.lock 已包含 dev 依赖（需先本地运行 pipenv install --dev 并提交锁文件）
pipenv install 和 pipenv sync 到底该用哪个？
pipenv install 是开发态命令：读 Pipfile，更新 Pipfile.lock（如有变更），再安装。适合添加/删包、调版本。pipenv sync 是部署态命令：只读 Pipfile.lock，严格按锁文件安装，跳过解析和重锁。CI/生产环境必须用它。
- 本地开发加依赖？→
pipenv install requests==2.31.0（自动更新锁文件） - CI 流水线拉代码后装依赖？→
pipenv sync --dev（确保 dev 依赖也按锁文件装） - 想验证锁文件是否真能复现环境？→ 删除
.venv，再跑pipenv sync，看是否零差异
Python 版本声明写在 Pipfile 哪里才真正起作用？
必须写在 [requires] 段的 python_version 字段，例如：
[[source]] url = "https://pypi.org/simple" verify_ssl = true name = "pypi" <p>[requires] python_version = "3.9"</p><p>[packages] requests = "*"</p>
这个值决定 pipenv 创建虚拟环境时调用哪个 Python 解释器。但它不保证系统已安装该版本——pipenv 不会自动下载 Python，只调用已存在的 python3.9（或通过 pyenv 注册的版本）。容易踩的坑：
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
- 写
python_version = "3.9"但系统只有python3.8→ 创建失败，报错Failed to load python: python3.9 - 写
python_version = "3"→ 解析为系统默认python3，失去版本精确性 - 用
pyenv管理多版本？先pyenv install 3.9.18，再pyenv global 3.9.18，否则pipenv找不到
如何让 Pipfile.lock 真正锁定子依赖的哈希值？
Pipfile.lock 默认对每个包记录 hashes 数组（SHA256），但前提是源仓库提供可验证的哈希——PyPI 支持，但私有源（如 Nexus、Artifactory）若未开启 content-disposition 或哈希头，pipenv 就只能 fallback 到不带哈希的安装，失去完整性校验。
验证方法：打开 Pipfile.lock，搜索某个包（如 urllib3），看其条目下是否有非空的 "hashes" 字段。如果没有：
- 确认私有源配置正确：
[[source]]中url必须指向支持 PEP 508 的索引（不是单纯文件目录） - 临时绕过校验（仅调试）：
pipenv install --skip-lock --skip-hashes，但上线前必须解决源头问题 - CI 中建议加检查脚本：用
jq断言所有包都有hashes，例如jq 'all(.default[].hashes | length > 0)' Pipfile.lock
锁文件的哈希字段一旦缺失，就退化为语义化版本约束，无法防御供应链投毒——这点比“版本号没锁死”更隐蔽，也更危险。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
