直接复制第三方库到项目目录会破坏依赖隔离：导致版本混淆、pip管理失效、c扩展不兼容、打包冗余、ide误判及安全补丁失控，应使用requirements.txt或poetry等工具规范管理。
直接复制第三方库到项目目录会破坏依赖隔离
Python 项目一旦把 requests、numpy 这类库整个文件夹拖进 src/ 或 lib/ 下，就等于手动接管了模块加载逻辑。这会导致：
• 同一库的多个版本共存时，解释器无法区分哪个是“当前项目该用的”，容易引发 ImportError 或静默行为不一致；
• pip list 和 requirements.txt 完全失效，协作时别人根本不知道你实际用了什么版本；
• 库自身带的 C 扩展（如 numpy 的 .pyd 文件）可能因平台/Python 版本不匹配而直接报 ImportError: DLL load failed。
打包和部署时会意外带上冗余代码
用 PyInstaller 或 pip install . 构建分发包时，工具默认扫描 sys.path 和 site-packages，但不会主动排除你手塞进去的第三方库目录。结果：
• --onefile 打包体积暴涨几十 MB（比如把 torch 整个目录拷进去）；
• 如果该库又依赖其他包（如 scikit-learn 依赖 scipy），这些依赖不会被自动解析，导致运行时报 No module named 'scipy.sparse'；
• Docker 镜像层缓存失效——哪怕只改一行业务代码，只要第三方库目录时间戳变了，整个 layer 就得重传。
IDE 和调试器会误判符号来源
PyCharm、VS Code 这类工具靠 python interpreter 配置来索引第三方库源码。当你把 matplotlib 目录硬塞进项目里：
• 跳转定义（Go to Definition）会优先跳进你本地的副本，而不是安装在 site-packages 里的真实版本；
• 断点可能打在错误的文件上（比如你改过副本但没同步 upstream 修复）；
• 类型提示（type stubs）和文档字符串可能滞后于 PyPI 上的最新版，IDE 提示变成“已过期”警告。
升级和安全补丁完全失控
第三方库的安全漏洞（比如 urllib3 的 CVE-2023-45803）靠 pip install --upgrade 或 pip-audit 扫描。但手拷的库：
• 不在 pip 管理范围内，pip list --outdated 永远看不到它；
• pip install --force-reinstall 不会影响它，除非你手动删掉再覆盖；
• CI 流水线里的 safety check 或 dependabot 也无法识别这个“幽灵依赖”。
真正需要锁定版本时，应该用 requirements.txt + pip install -r requirements.txt，或者更现代的 poetry lock / pip-tools compile。手拖目录这事，只适合极少数场景：比如调试某个库的 patch，且明确知道要临时替换、并加好 # HACK: override xxx for testing 注释——否则就是给后续所有人埋雷。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
