Python requirements.txt: создание и применение

Расширенные примеры работы с requirements.txt

Пример 1: Создание requirements.txt с хэшами для безопасной установки

Для обеспечения целостности пакетов можно включить в файл хэши (SHA256). Pip поддерживает режим --require-hashes, при котором установка возможна только при совпадении всех хэшей.

# Сначала создадим обычный requirements.txt, затем добавим хэши вручную
# или используем pip freeze с опцией --hash
$ pip freeze --all --hash > requirements.txt

Contents of requirements.txt (фрагмент):
Django==4.2.7 \
    --hash=sha256:6d0b3b2b5e5b8c7c0c3b0a5b1c2d3e4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3 \
    --hash=sha256:9a0b1c2d3e4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a0b1c2d3e4f5

Установка с проверкой хэшей:

$ pip install --require-hashes -r requirements.txt

Если хотя бы один хэш не совпадет, pip выдаст ошибку и откатит установку.

Пример 2: Указание дополнительных индексов пакетов

Если проект использует пакеты из приватного индекса (например, Nexus или Artifactory), можно указать дополнительный URL через --extra-index-url в файле.

# requirements.txt
--extra-index-url https://private.example.com/simple
my-private-package==1.0.0
requests==2.31.0

# Альтернативный способ: задать в pip.conf или переменной окружения PIP_EXTRA_INDEX_URL

Установка выполняется обычной командой pip install -r requirements.txt.

Пример 3: Использование файлов ограничений (constraints)

Файл ограничений (constraints.txt) позволяет задать правила для версий пакетов, не включая их непосредственно в установку. Это полезно, когда нужно контролировать транзитивные зависимости.

# constraints.txt
Django<5.0
numpy>=1.20,!=1.24.0

# requirements.txt (только прямые зависимости)
requests
pandas

Установка с ограничениями:

$ pip install -r requirements.txt -c constraints.txt

Pip будет учитывать ограничения при выборе версий всех зависимых пакетов.

Пример 4: Установка пакетов из Git-репозиториев или локальных путей

Файл requirements.txt поддерживает установку из различных источников. Для Git используется протокол git+https или git+ssh.

# requirements.txt
git+https://github.com/user/repo.git@v1.0.0#egg=my-package
-e ./local-package
-e . # editable install текущего проекта
-e git+ssh://git@example.com:user/package.git#egg=package-name

Флаг -e (editable) устанавливает пакет в режиме редактирования - изменения в исходном коде применяются без переустановки.

Пример 5: pip-sync - точная синхронизация окружения с requirements.txt

Команда pip-sync из набора pip-tools устанавливает именно те версии, которые указаны в файле, удаляя пакеты, отсутствующие в списке.

$ pip-sync requirements.txt

Uninstalling pandas-2.0.3:
  Successfully uninstalled pandas-2.0.3
Installing numpy-1.25.2:
  Successfully installed numpy-1.25.2
... (синхронизация завершена)

Если нужно оставить пакеты, не указанные в файле, используется флаг --dry-run.

Пример 6: Генерация requirements.txt из setup.py или pyproject.toml

Если проект распространяется как пакет, зависимости могут быть указаны в setup.py или pyproject.toml. Для извлечения списка можно использовать pip freeze после установки пакета в режиме редактирования.

# Установка пакета в текущей директории с учётом зависимостей
$ pip install -e .
# Затем создание requirements.txt
$ pip freeze > requirements.txt

Также инструменты типа pip-compile поддерживают прямое чтение из pyproject.toml.

$ pip-compile pyproject.toml

# Сгенерированный файл requirements.txt
Django==4.2.7
requests==2.31.0
... (все зависимости, включая транзитивные)

Пример 7: Использование --no-deps для установки только явно указанных пакетов

Опция --no-deps указывает pip не устанавливать зависимости пакетов. Это может быть полезно, когда все зависимости уже есть или управляются отдельно.

# requirements.txt (только прямые пакеты)
Django
requests

$ pip install --no-deps -r requirements.txt

В результате будут установлены только Django и requests, но не их зависимости (asgiref, certifi и т.д.).

Пример 8: Проверка целостности и разрешение конфликтов с помощью pip check

После установки зависимостей полезно выполнить команду pip check, которая проверяет, что все зависимости удовлетворены и нет конфликтов.

$ pip check
No broken requirements found.
# или
$ pip check
requests 2.31.0 requires urllib3>=1.21.1, but you have urllib3 1.26.15 which is incompatible.

Если pip выявил конфликт, следует обновить или понизить версии пакетов, отредактировав requirements.txt и повторно запустив установку.

Пример 9: Экспорт зависимостей с указанием source (комментариями) для pip-compile

При использовании pip-compile в результирующем файле автоматически добавляются комментарии о том, откуда взята каждая зависимость. Это облегчает аудит.

$ pip-compile requirements.in -o requirements.txt

# This file is autogenerated by pip-compile with Python 3.11
# by the following command:
#    pip-compile requirements.in
#
Django==4.2.7
    # via -r requirements.in
asgiref==3.7.2
    # via django
...
# The following packages are considered to be unsafe in a requirements file:
# setuptools, pip (не устанавливаются, но отмечены)

Такой файл легко проверять при код-ревью.