使用虚拟环境隔离项目依赖，避免包冲突；通过 venv 创建独立环境并激活使用；禁止全局安装包以防止污染系统；开发完成后用 pip freeze 生成 requirements.txt 或采用 Pipenv、poetry 锁定版本，提交 lock 文件确保环境一致；区分生产与开发依赖，按需安装；定期用 pip-audit 等工具检查漏洞，结合自动化工具更新依赖；推荐使用 poetry 或 pipenv 提升依赖管理安全性与可维护性，团队应统一规范执行。
Python 项目中依赖管理混乱常导致“依赖地狱”，表现为包版本冲突、环境不一致、部署失败等问题。要避免这些问题，关键在于隔离环境、明确依赖和使用可靠的工具链。
使用虚拟环境隔离项目依赖
每个 Python 项目应使用独立的虚拟环境，防止不同项目的包相互干扰。
- 用 venv 创建轻量级环境：
python -m venv myenv，激活后安装的包只存在于该项目中。 - 激活方式：
Linux/macOS:source myenv/bin/activate，Windows:myenv\Scripts\activate - 不再全局安装包，避免污染系统环境。
锁定依赖版本保证可复现性
开发完成后必须锁定依赖版本，确保团队和生产环境使用相同包版本。
- 使用 pip freeze 生成精确版本列表：
pip freeze > requirements.txt - 推荐使用 Pipenv 或 poetry 管理依赖，它们自带锁文件机制（Pipfile.lock / poetry.lock）。
- 提交 lock 文件到版本控制，让部署和协作更可靠。
合理组织依赖结构
区分不同用途的依赖，提升维护效率。
立即学习“Python免费学习笔记（深入）”；
- 将开发依赖（如测试工具、格式化工具）与生产依赖分开。
- 使用 poetry 可定义
[tool.poetry.group.dev]，Pipenv 支持--dev标志。 - 安装时按需加载：
poetry install --only=prod避免在生产环境安装不必要的包。
定期更新与检查依赖安全
长期不更新依赖可能引入安全漏洞或阻碍升级。
- 使用 pip-audit 或 safety 检查已知漏洞：
pip-audit - 结合 dependabot 或 pyup 自动发起依赖更新 PR。
- 小步迭代，逐个升级包并运行测试，降低风险。
基本上就这些。用好虚拟环境、锁定版本、分组管理、定期维护，能大幅减少 Python 依赖问题。工具选型上，poetry 和 pipenv 比传统 pip + requirements.txt 更现代且安全。关键是形成规范，团队统一执行。
