pip list --outdated仅检查顶层已安装包在pypi的最新兼容版本，不查子依赖、不验python兼容性、不评估cve或破坏性变更，需人工补三步校验：查pip index versions确认版本适配性、阅github release看breaking changes、运行测试验证兼容性。

pip list --outdated 本身不评估风险，只回答“PyPI 上有没有更高版本”——它连你用的是不是 Python 3.9 都不看，更不会告诉你这个新版是否含 CVE 或破坏兼容性。真要排查风险，得绕开它的默认行为，补上三步人工校验。

为什么 pip list --outdated 显示“无过期包”，但实际仍有安全漏洞

它完全不检查子依赖。比如你只装了 requests，没直接装 urllib3，但 requests 依赖的 urllib3==1.26.5 存在 CVE-2023-43804，pip list --outdated 就不会列出 urllib3 —— 因为它不是“顶层已安装包”。

• 这种漏检是常态，不是 bug；pip 的设计目标就是只管直接安装项
• 想覆盖子依赖，必须用专用工具：pip-audit（官方推荐）、safety check 或 pipdeptree --reverse --packages urllib3
• 内网私有源安装的包，若未配置 pip config set global.index-url，--outdated 仍查 PyPI，结果必然为空或错位

怎样让 pip list --outdated 输出真正可操作的升级清单

默认表格输出人眼难扫、脚本难解析，且混入大量干扰项。加这几个参数才能落地：

Galileo python sdk

Galileo AI 平台 Python SDK 完整参考，用于评估、监控和保护 GenAI 应用，适用于构建 Python 应用。

下载

• --format=freeze：输出 requests==2.28.1 格式，可直接喂给 pip install -U 或存为临时 to-update.txt
• --exclude setuptools,pip,wheel,importlib-metadata：过滤掉构建链工具，它们发版频繁但业务无关
• --user：只查用户级安装，避开系统环境干扰（尤其在 macOS / Linux 全局 Python 下）
• --local：排除通过 --find-links 或本地路径安装的包，防止把内部 fork 版误判为“过期”

查到某包“有新版”之后，必须立刻验证的三件事

pip list --outdated 只负责抛出包名和版本号，剩下全是你的事：

• 运行 pip index versions <package_name></package_name>（需 pip ≥ 21.3），确认列表里哪些版本实际支持你当前的 Python 版本（比如 django 5.0 要求 Python ≥ 3.10，而你在用 3.9）
• 翻该项目的 GitHub Releases 页面，重点搜 Breaking Changes 和 Migrations，别信 changelog 里的“minor fix”描述
• 跑一次 pytest --tb=short 或对应测试命令——很多兼容性问题在 import 阶段就崩了，比 pip install -U 报错早得多

最常被跳过的动作是：对照 requirements.txt 或 pyproject.toml 里的约束再筛一遍。比如文件里写的是 requests，但 <code>pip list --outdated 推荐你升到 3.1.0，那它根本不在允许范围内——这个判断，pip 永远不会替你做。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！