为什么不推荐使用setup.py中的依赖关系链接？

Question

有相当多的人不知道在替代相关性的联系setup.py(与PIP标志激活--process-dependency-links):什么是替代使用与PIP --process依赖性链接, 取决于setup.py git仓库.基本上,我被弃用警告所困扰:

"DEPRECATION: Dependency Links processing has been deprecated and will be removed in a future release."

有些人建议使用requirements.txt,但这不是一种替代方案,因为它旨在提供整个环境,通常与开发更相关.本install_requires应该提供一种最低限度是必要的标准功能的工作,所以,当你做这样的事情库的pip install [LIBRARY],在安装所需的一切,没有任何进一步的pip install -r requirements.txt(我指的情况下,在其中图书馆paramater pip install [LIBRARY]将以URL的形式出现git+http:\\github.com\username\repo.git.

我弃用的问题是我不能引用内部/私有包,但是如果需要在git中引用特定的提交或分支,我也可以看到这可能是一个问题(至少我知道我在过去).

总而言之,dependency_links的使用很复杂,例如语法并不总是很清楚,存在几种指定URL的方法,人们往往会忘记他们必须将库的名称版本放在列表dependency_links和install_requires列表中.我想听到这种弃用有利于改进,但似乎并非如此

那么,总结一下,弃用依赖关系链接的原因是什么？依赖链接的弃用是否有利于更好的替代方案？似乎没有其他选择

Answer 1

PEP 508 URL 依赖项是依赖项链接的替代方案。您可以在我的相关回答中找到更多详细信息。

弃用依赖链接的原因是什么？

安全。当启用依赖链接时，pip 可以从互联网获取任意 URL 并从中运行代码——这显然不是一个好主意。

您可以在提出此建议的原始线程中阅读更多相关信息：https://mail.python.org/pipermail/distutils-sig/2013-October/022937.html