Python依賴沖突排查工具pipdeptree使用及說明
一、快速使用
| 功能 | 命令 | 說明 |
|---|---|---|
| 安裝 | pip install pipdeptree | 安裝 pipdeptree 工具 |
| 查看完整依賴樹 | pipdeptree | 顯示當(dāng)前環(huán)境的完整依賴樹狀結(jié)構(gòu) |
| 反向查詢依賴 | pipdeptree --reverse 或 pipdeptree -r | 顯示每個(gè)包被哪些包所依賴 |
| 檢查指定包依賴 | pipdeptree --packages <包名> | 只顯示指定包的依賴關(guān)系 |
| 生成JSON格式 | pipdeptree --json | 以JSON格式輸出依賴信息 |
| 抑制警告信息 | pipdeptree --warn silence | 不顯示沖突警告信息 |
| 沖突時(shí)失敗退出 | pipdeptree --warn fail | 發(fā)現(xiàn)沖突時(shí)以非零狀態(tài)退出 |
二、常見問題
在Python開發(fā)中，我們使用虛擬環(huán)境安裝依賴時(shí)常遇到依賴沖突，查遍各個(gè)官方文檔尋找版本對應(yīng)關(guān)系，解決一個(gè)依賴問題，又跳出另一個(gè)依賴問題。
這么多第三方庫各自又有復(fù)雜的依賴樹，讓人頭大：
- 版本沖突：庫A需要
requests>=2.25.0，而庫B堅(jiān)持使用requests==2.24.0。 - 隱式依賴：不知道
pandas背后還依賴著numpy,pytz,python-dateutil等一堆庫。 - 依賴冗余：多個(gè)庫依賴了同一個(gè)庫的不同版本，導(dǎo)致環(huán)境臃腫且難以管理。
三、pipdeptree的原理與功能
pip 自帶的 pip list 或 pip freeze 只能給出一個(gè)扁平的、按字母順序排列的已安裝包列表，完全無法展示其內(nèi)在的層次關(guān)系。這里要介紹的是另一個(gè)工具：pipdeptree
pipdeptree 是一個(gè)命令行工具，它能分析當(dāng)前Python環(huán)境中已安裝的包，并以樹形結(jié)構(gòu)直觀地展示所有包之間的依賴關(guān)系。它不是包管理器，而是一個(gè)依賴關(guān)系分析器和可視化工具。
pipdeptree 的核心功能是回答兩個(gè)關(guān)鍵問題：
- 這個(gè)包被誰所需要？ （反向查詢）
- 這個(gè)包又依賴了哪些包？ （正向查詢）
通過回答這些問題，它將一個(gè)平面的依賴列表轉(zhuǎn)化為一幅清晰的“族譜”，整個(gè)項(xiàng)目的依賴狀況一目了然。
1. 安裝
pipdeptree 本身就是一個(gè)Python包，可以通過pip安裝：
pip install pipdeptree
2. 基本依賴樹展示
在命令行直接輸入 pipdeptree，它會打印出當(dāng)前激活的虛擬環(huán)境下所有包的依賴樹。
... ├── Flask [required: >=1.1.1, installed: 2.2.5] │ ├── click [required: >=8.0, installed: 8.1.8] │ │ ├── colorama [required: Any, installed: 0.4.6] │ │ └── importlib-metadata [required: Any, installed: 6.7.0] │ │ ├── typing-extensions [required: >=3.6.4, installed: 4.7.1] │ │ └── zipp [required: >=0.5, installed: 3.15.0] │ ├── importlib-metadata [required: >=3.6.0, installed: 6.7.0] │ │ ├── typing-extensions [required: >=3.6.4, installed: 4.7.1] │ │ └── zipp [required: >=0.5, installed: 3.15.0] │ ├── itsdangerous [required: >=2.0, installed: 2.1.2] │ ├── jinja2 [required: >=3.0, installed: 3.1.5] │ │ └── MarkupSafe [required: >=2.0, installed: 2.1.5] │ └── Werkzeug [required: >=2.2.2, installed: 2.2.3] │ └── MarkupSafe [required: >=2.1.1, installed: 2.1.5] ...
可以看到 Flask 依賴 Jinja2，而 Jinja2 又依賴 MarkupSafe。
同時(shí)，Werkzeug 也依賴了 MarkupSafe。這清晰地展示了共享依賴的情況。
3. 反向查詢（找出為什么安裝了一個(gè)包）
使用 --reverse （或 -r）標(biāo)志。當(dāng)你看到一個(gè)不熟悉的包時(shí)，可以用它來追溯其來源。
pipdeptree --reverse
部分輸出示例：
... │ ├── jinja2 [required: >=3.0, installed: 3.1.5] │ │ └── MarkupSafe [required: >=2.0, installed: 2.1.5] │ └── Werkzeug [required: >=2.2.2, installed: 2.2.3] │ └── MarkupSafe [required: >=2.1.1, installed: 2.1.5] ...
這表示 MarkupSafe 之所以被安裝，是因?yàn)樗?Jinja2 和 Werkzeug 的依賴項(xiàng)。
或指定包：
pipdeptree --reverse --packages markupsafe
4. 將依賴樹輸出為文件
使用 --packages 參數(shù)可以只顯示最頂層的“父”依賴（即你顯式安裝的包），這非常適合生成一個(gè)精簡的 requirements.txt 文件。
先查下 flask：
pipdeptree --packages flask
輸出：
Flask==2.2.5 ├── click [required: >=8.0, installed: 8.1.8] │ ├── colorama [required: Any, installed: 0.4.6] │ └── importlib-metadata [required: Any, installed: 6.7.0] │ ├── typing-extensions [required: >=3.6.4, installed: 4.7.1] │ └── zipp [required: >=0.5, installed: 3.15.0] ├── importlib-metadata [required: >=3.6.0, installed: 6.7.0] │ ├── typing-extensions [required: >=3.6.4, installed: 4.7.1] │ └── zipp [required: >=0.5, installed: 3.15.0] ├── itsdangerous [required: >=2.0, installed: 2.1.2] ├── jinja2 [required: >=3.0, installed: 3.1.5] │ └── MarkupSafe [required: >=2.0, installed: 2.1.5] └── Werkzeug [required: >=2.2.2, installed: 2.2.3] └── MarkupSafe [required: >=2.1.1, installed: 2.1.5]
同時(shí)查看多個(gè)包的依賴并輸出至文件：
pipdeptree --warn silence --packages flask requests > log.txt
--warn silence用于抑制警告輸出（如沖突警告），在只想安靜地獲取依賴樹時(shí)用。--warn fail則會在發(fā)現(xiàn)沖突時(shí)以非零狀態(tài)退出。
提取所有頂層包（注意windows用不了grep ）：
pipdeptree --warn silence | grep -E '^\w+'
提取所有頂層包輸出到文件：
pipdeptree --warn silence | grep -E '^\w+' > requirements.txt
5. 發(fā)現(xiàn)沖突與問題
pipdeptree 默認(rèn)會檢查依賴沖突。如果環(huán)境中存在無法同時(shí)滿足的版本要求，它會以 警告（Warning） 的形式高亮顯示這些沖突。
Warning!!! Possibly conflicting dependencies found: * celery==5.2.7 -> click-didyoumean>=0.0.1,<0.1.0 * click-repl==0.2.0 -> click<9.0.0,>=7.0
這通常是依賴地獄的第一個(gè)信號，快點(diǎn)手動干預(yù)吧ㄒoㄒ~。
6. JSON輸出
使用 --json 或 --json-tree 標(biāo)志可以以機(jī)器可讀的JSON格式輸出結(jié)果，便于與其他工具（如自動化腳本、CI/CD流水線）集成。
pipdeptree --json
輸出：
...
{
"package": {
"key": "flask",
"package_name": "Flask",
"installed_version": "3.1.2"
},
"dependencies": [
{
"key": "blinker",
"package_name": "blinker",
"installed_version": "1.9.0",
"required_version": ">=1.9.0"
},
{
"key": "click",
"package_name": "click",
"installed_version": "8.2.1",
"required_version": ">=8.1.3"
},
{
"key": "itsdangerous",
"package_name": "itsdangerous",
"installed_version": "2.2.0",
"required_version": ">=2.2.0"
},
{
"key": "jinja2",
"package_name": "Jinja2",
"installed_version": "3.1.6",
"required_version": ">=3.1.2"
},
{
"key": "markupsafe",
"package_name": "MarkupSafe",
"installed_version": "3.0.2",
"required_version": ">=2.1.1"
},
{
"key": "werkzeug",
"package_name": "Werkzeug",
"installed_version": "3.1.3",
"required_version": ">=3.1.0"
}
]
},
...
四、pipdeptree的優(yōu)勢
調(diào)試依賴沖突：
- 當(dāng)
pip install失敗或運(yùn)行時(shí)出現(xiàn)難以理解的ImportError時(shí)，pipdeptree是首選診斷工具。 - 通過正反向查詢，可以快速定位是哪個(gè)包的版本要求導(dǎo)致了沖突，從而做出降級、升級或?qū)ふ姨娲臎Q策。
優(yōu)化requirements.txt：
- 一個(gè)常見的反模式是將
pip freeze > requirements.txt的結(jié)果直接用于生產(chǎn)環(huán)境，這會將所有底層依賴（包括它們的精確版本）都凍結(jié)，導(dǎo)致文件冗長且難以維護(hù)。 - 而我們需要的是：
- 僅保留那些你顯式安裝的頂層包在
requirements.txt中。 - 使用
pipdeptree來生成這個(gè)精簡列表，確保環(huán)境的可重現(xiàn)性同時(shí)保持文件的清晰和可管理性。
審計(jì)與安全審查：
- 在出現(xiàn)安全漏洞（如CVE）時(shí)，安全團(tuán)隊(duì)通常會給出受影響的包名和版本范圍。
- 使用
pipdeptree可以迅速掃描整個(gè)環(huán)境，找到所有安裝了該漏洞包的地方，并追溯是哪個(gè)頂級包引入了它，從而評估影響范圍并制定優(yōu)先級最高的修復(fù)策略。
理解復(fù)雜項(xiàng)目的依賴圖譜：
- 對于大型項(xiàng)目或框架，其依賴樹可能非常深且復(fù)雜。
pipdeptree提供了不可或缺的全局視角，幫助架構(gòu)師和開發(fā)者理解項(xiàng)目的依賴組成，避免引入不必要的或可能造成沖突的新依賴。
五、結(jié)論
pipdeptree 雖然不會每天用到，但它也是工具包中必不可少的簡單且有威力的伙伴啦。
以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
python 如何將數(shù)據(jù)寫入本地txt文本文件的實(shí)現(xiàn)方法
這篇文章主要介紹了python 如何將數(shù)據(jù)寫入本地txt文本文件的實(shí)現(xiàn)方法，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2019-09-09
這篇文章主要介紹了Python的gevent框架的入門教程,示例代碼基于Python2.x版本,需要的朋友可以參考下2015-04-04
這篇文章主要介紹了Python?操作?Excel?之?openpyxl?模塊，文章基于python的相關(guān)資料展開對?openpyxl?模塊的詳細(xì)介紹，具有一定的參考價(jià)值，需要的小伙伴可以參考一下2022-05-05
在本篇文章里小編給大家整理的是一篇關(guān)于python樹的同構(gòu)學(xué)習(xí)筆記以及相關(guān)實(shí)例代碼內(nèi)容，有需要的朋友們學(xué)習(xí)下。2019-09-09
鏈表是計(jì)算機(jī)科學(xué)里面應(yīng)用最廣泛的數(shù)據(jù)結(jié)構(gòu)之一。這篇文章主要介紹了使用python實(shí)現(xiàn)鏈表操作,需要的朋友可以參考下2018-01-01
Python開發(fā)中避免過度優(yōu)化的7種常見場景
今天我們來聊一個(gè)超火但又常常讓人“翻車”的話題：過度優(yōu)化,很多開發(fā)者,特別是剛接觸Python的朋友,往往會被“高級技巧”迷了眼,結(jié)果搞得自己程序既不簡潔,又不易維護(hù),那么,今天就來跟大家一起看看,Python開發(fā)中哪些“高級技巧”其實(shí)是過度優(yōu)化,應(yīng)該盡量避免的2025-05-05
NumPy（Numerical Python）是一個(gè)用于處理數(shù)組的Python庫，學(xué)習(xí)機(jī)器學(xué)習(xí)的過程中先學(xué)會使用NumPy是非常重要的，所以本文就給大家詳細(xì)介紹一下如何使用NumPy庫，需要的小伙伴跟著小編一起來看看吧2023-07-07
Python趣味編程實(shí)現(xiàn)手繪風(fēng)視頻示例
本文與計(jì)算機(jī)視覺相關(guān)，使用Python將圖片由自然風(fēng)轉(zhuǎn)化為手繪風(fēng)，期間未對圖片進(jìn)行任何預(yù)處理、后處理；代碼中只借助了兩個(gè)常見庫，核心計(jì)算由Numpy負(fù)責(zé) ，Pillow 負(fù)責(zé)圖片讀寫2021-10-10
Python爬蟲進(jìn)階之Beautiful Soup庫詳解
這篇文章主要介紹了Python爬蟲進(jìn)階之Beautiful Soup庫詳解,文中有非常詳細(xì)的代碼示例,對正在學(xué)習(xí)python爬蟲的小伙伴們有非常好的幫助,需要的朋友可以參考下2021-04-04
這篇文章主要介紹了python獲取微信小程序手機(jī)號并綁定遇到的坑，本文給大家介紹的非常詳細(xì)，具有一定的參考借鑒價(jià)值 ,需要的朋友可以參考下2018-11-11