Poetry迁移后本地Wheel包锁文件哈希不匹配问题问询

1. 仅放宽特定本地URL/源依赖的哈希校验 #

可以通过Poetry的多源配置实现，区分本地源和PyPI源，让本地依赖跳过哈希校验，外部依赖保留强制校验：

• 在pyproject.toml中定义本地专属源，标记为secondary，避免干扰PyPI依赖的默认行为：

  [[tool.poetry.source]]
  name = "local-wheels"
  url = "file:///your/local/wheel/repo/path"
  secondary = true
  
  [tool.poetry.dependencies]
  python = "^3.10"
  # 本地包指定使用专属源，不生成哈希
  package-a = { version = "^1.0", source = "local-wheels" }
  package-b = { version = "^1.0", source = "local-wheels" }
  # PyPI依赖自动用默认源，保留哈希校验
  requests = "^2.31.0"
  

• 这样生成的poetry.lock中，本地源的依赖不会包含哈希字段，PyPI依赖则正常保留哈希，既满足生产对外部依赖的可验证性，又避免本地包频繁变更导致的哈希冲突。

2. 避免每次小改动全量执行poetry lock的方案 #

• 用poetry lock --no-update命令：仅更新锁文件中已变更的依赖条目，不会全量刷新所有依赖的哈希。比如仅修改了包B的代码，执行该命令只会更新包B的锁记录，跳过其他依赖，耗时大幅降低。
• CI阶段做差异化更新：通过git diff检测本次提交修改了哪些本地包，仅对这些包执行poetry add --lock <package-name>，直接更新锁文件中对应的条目，无需全量锁更新。
• 给本地包设宽松版本约束：比如>=1.0,<2.0，结合poetry lock --no-update，让Poetry在兼容版本范围内自动使用最新构建的wheel，减少锁文件的变更频率。

3. 兼顾可复现性、开发效率与生产部署验证的综合方案 #

开发阶段 #

• 采用本地源+宽松版本约束，配合poetry lock --no-update处理本地包变更，小改动无需提交锁文件，减少协作冲突。
• 开发者本地构建wheel后，执行poetry install --no-root快速安装，跳过锁文件校验环节，提升开发效率。

CI与生产阶段 #

• PR合并前自动执行一次全量poetry lock，确保合并后的锁文件包含所有依赖的最新哈希（仅在合并时执行，而非每次推送）。
• 生产镜像构建时，强制校验外部依赖的锁文件哈希；本地依赖通过内部镜像仓库的版本标签验证——给每个wheel打唯一的版本号+git commit hash标签，确保生产环境使用的包与代码提交完全一致。

锁文件管理规范 #

• 明确规则：仅在修改外部依赖或批量更新本地包时提交锁文件，小的本地代码改动无需提交，由CI在合并时统一更新。
• 用git钩子辅助：如果提交包含外部依赖改动，强制要求更新锁文件；如果仅修改本地包代码，允许跳过锁文件更新。

内容的提问来源于stack exchange，提问作者AIGAMER