pip-compile 不自动升级已锁版本是因遵循“稳定优先”设计哲学，仅当显式使用 --upgrade 或 --upgrade-package 时才更新，确保 ci 环境不因意外升版引发兼容问题。
pip-tools 能帮你从 requirements.in 生成严格锁定的 requirements.txt，但默认行为不递归解析子依赖的约束——必须显式用 --upgrade 或 --upgrade-package 才能更新锁文件，否则 pip-compile 只做“最小兼容性重编译”。
为什么 pip-compile 不自动升级已锁版本？
pip-tools 的设计哲学是“稳定优先”：只要现有 requirements.txt 中的版本仍满足 requirements.in 里的声明（比如 requests>=2.25），它就不会主动升版。这避免 CI 环境意外拉取新 patch 版本引发兼容问题。
- 常见错误现象：
pip-compile运行后requests仍是 2.28.2，哪怕 PyPI 上已有 2.31.0 且满足>=2.25 - 正确做法：需要显式触发升级，例如
pip-compile --upgrade-package requests或全局pip-compile --upgrade - 注意：加
--upgrade后会忽略本地requirements.txt中的版本，完全按最新兼容解重新计算整个依赖树
如何让子依赖也受约束（比如限制 urllib3 版本）？
直接在 requirements.in 里写死子依赖是反模式的，但 pip-tools 支持通过 --extra-index-url 和 --index-url 控制源，或用 pip-compile --pre 允许预发布版——真正影响子依赖锁定的是你是否启用 --generate-hashes 和是否在 requirements.in 中使用 -c constraints.txt 引入约束文件。
SkillSub Pro - Python 题解与代码注释双功能技能功能概述SkillSub Pro - Python 题解与代码注释双功能技能是一项面向实际任务的技能，主要用于SkillSub Pro 是一个 Python 题解生成与代码注释的 双功能合体技能 ，专为学生、算法学习者和开发者设计；✅ 一个技能，两种用途 ：；核心要点📝 题解模式 ：输入题目/题号，自动生成完整 Python 题解（含详细注释、解题思路、复杂度分析）；💬 注释模式 ：输入 Python 代码，自动添加详细中。它将相关步骤、
- 典型场景：你想强制所有包使用
urllib3，但 <code>requests默认兼容urllib3>=1.21.1 - 做法：新建
constraints.txt，写入urllib3，然后在 <code>requirements.in首行加-c constraints.txt - 运行时必须带
--constraint参数才生效：pip-compile --constraint constraints.txt requirements.in - 否则
-c行会被忽略，子依赖依然自由浮动
CI/CD 中安全生成锁文件的关键参数
在自动化流程里，仅跑 pip-compile 是危险的——它可能静默复用旧锁文件，导致环境漂移。必须组合参数确保可重现性和变更可见性。
- 必加
--resolver-version=v2：v1 解析器有已知 bug，v2 是当前唯一推荐版本 - 建议加
--strip-extras：去掉可选依赖（如requests[security]编译成requests），避免 extras 引入不可控子依赖 - 检查变更再提交：用
pip-compile --dry-run -o /dev/stdout requirements.in | diff -u requirements.txt -判断是否真有更新 - 禁止在 CI 中用
--upgrade：应由开发者手动触发，CI 只做验证和安装
最易被忽略的一点：pip-tools 不读取 pyproject.toml 或 setup.py 里的依赖，它只认 .in 文件。如果你项目用 Poetry 或 PDM 管理，得先导出为 requirements.in，否则锁文件和实际运行环境根本对不上。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
