pip install requirements.txt 时依赖冲突如何解决？

Question

**常见问题：** 执行 `pip install -r requirements.txt` 时，常因不同包指定互斥的同一依赖版本（如 `django==4.2.0` 与 `djangorestframework>=3.14,<4.0` 间接要求 `django>=4.0,<5.0`）引发 `ERROR: Cannot install ... because these package versions have conflicting dependencies`。根本原因在于 `requirements.txt` 缺乏版本约束协同性——它通常是直接运行结果（如 `pip freeze > reqs.txt`），未做兼容性验证，且忽略子依赖传递关系。更隐蔽的是，同一包在不同环境下（如 Python 3.9 vs 3.12）可能触发不同依赖解析路径，导致本地成功、CI失败。此外，`pip` 默认采用“贪婪解析”策略，无法回溯尝试替代版本组合，加剧冲突概率。该问题在微服务多仓库、团队协作或升级旧项目时高频出现，直接影响部署流水线稳定性与本地开发一致性。

Answer 1

```html

一、现象层：依赖冲突的典型报错与复现路径

执行 pip install -r requirements.txt 时，常见错误如下：

ERROR: Cannot install django==4.2.0 and djangorestframework>=3.14,<4.0 because these package versions have conflicting dependencies.

该错误非语法错误，而是 pip 的依赖解析器（Resolver）在构建有向无环图（DAG）时检测到不可满足约束。复现路径高度可复现：在 Python 3.9 环境下 pip freeze > requirements.txt 后，CI 使用 Python 3.12 运行相同命令即失败——因 setuptools 68+ 在 Py3.12 中默认启用新 resolver，而旧版 pip（≤22.x）使用 legacy resolver，行为不一致。

二、机制层：pip 解析器演进与“贪婪不可回溯”本质

自 pip 20.3 起，默认启用 backtracking resolver，但其回溯能力受限于超时阈值与启发式剪枝策略。关键事实：

• pip 不构建全局兼容解空间，而是采用深度优先+约束传播（Constraint Propagation），一旦某分支失败即丢弃，不尝试替代版本组合
• 子依赖版本由 setup.py 或 pyproject.toml 中的 install_requires 声明，但 pip 不验证跨包语义一致性（如 Django 版本对 DRF 插件 ABI 的实际兼容性）
• Python 版本差异会触发不同 python_requires 分支，导致同一包名解析出不同 wheel（如 django-4.2.0-py3-none-any.whl vs django-4.2.0-cp312-cp312-manylinux_2_17_x86_64.manylinux2014_x86_64.whl）

三、根源层：requirements.txt 的三大反模式

反模式	成因	风险示例
直接冻结（pip freeze）	捕获瞬时环境状态，含非传递依赖与开发依赖	black==24.4.0 意外写入生产 reqs，引发 CI 中 pyproject.toml 解析冲突
硬锁定（== 全局滥用）	忽略语义化版本（SemVer）的兼容承诺	django==4.2.0 阻止 djangorestframework==3.15.0 升级至修复 CVE-2023-XXXX 的 3.15.2
无环境标注	未声明 python_version 或平台约束	本地 Py3.9 成功安装 numpy==1.24.4，CI Py3.12 因缺失预编译 wheel 而源码编译失败

四、工程层：现代 Python 依赖治理四阶演进

graph LR
A[手动维护 requirements.txt] --> B[分层 reqs：base/in-dev/in-prod]
B --> C[Poetry/pyproject.toml + lockfile]
C --> D[Dependabot + pre-commit hooks + CI 依赖验证]

推荐实践链路：

1. 用 pip-tools 生成可重现的 requirements.txt：
   pip-compile --resolver=backtracking --upgrade --generate-hashes requirements.in
2. 在 CI 中强制校验：
   pip install pip-tools && pip-compile --check requirements.in
3. 为多 Python 版本生成矩阵：
   tox -e py39,py311,py312 -- pip list --outdated
4. 引入 pipdeptree 可视化冲突：
   pipdeptree --packages django,djangorestframework --warn silence

五、架构层：微服务场景下的依赖契约治理

在 20+ 仓库的微服务集群中，需建立组织级依赖策略：

• 基线版本公约：定义 DJANGO_BASELINE=4.2.*，所有服务通过 constraints.txt 统一约束，而非各自硬编码
• 依赖健康看板：用 pip-audit 扫描 CVE，结合 pip-show-tree 识别陈旧子依赖
• CI 双通道验证：
  ① pip install -c constraints.txt -r requirements.txt（约束安装）
  ② pip check 验证运行时兼容性

```