如何通过pip指定仅从私有索引安装软件包或优先使用私有索引？

我在内部GitLab上搭建了标准Simple PyPI布局的私有镜像仓库，希望指定某个软件包仅从该私有索引安装，或至少优先使用私有索引而非PyPI。由于--extra-index-url存在依赖混淆风险（比如PyPI上若有同名且版本更高的包，pip会优先选用），所以不想使用该参数。

我尝试执行以下命令安装包，原本预期私有索引没有该包时会失败，但实际pip还是从PyPI安装了，因此不确定这种方式是否仍有依赖混淆风险：

pip install -i https://git.mycompany.com/api/v4/projects/1337/packages/pypi/simple requests

一、排查命令失效原因 #

你的命令未按预期生效，大概率是以下原因之一：

• pip配置文件（如pip.conf/pip.ini）中默认配置了extra-index-url或其他索引地址，导致pip在私有索引找不到包时自动 fallback 到PyPI；
• 部分旧版本pip存在行为缺陷，使用--index-url时若指定索引无对应包，会默认去PyPI查找；
• 私有索引的响应中包含了指向PyPI的重定向规则。

可通过执行pip config list命令检查当前pip的索引配置，确认是否有额外的索引设置。

二、安全的解决方案 #

1. 严格仅从私有索引安装（彻底规避依赖混淆） #

如果要确保包只能从私有索引获取，找不到就直接报错，需同时使用--index-url和--no-index参数：

pip install --index-url https://git.mycompany.com/api/v4/projects/1337/packages/pypi/simple --no-index <你的私有包名>

--no-index会禁用PyPI官方索引，强制pip仅从指定的私有索引查找包，完全杜绝依赖混淆风险。

2. 优先私有索引（仍有风险，不推荐） #

如果确实需要在私有索引无对应包时 fallback 到PyPI，可使用以下命令（但仍存在依赖混淆风险，仅在必要时使用）：

pip install --index-url https://git.mycompany.com/api/v4/projects/1337/packages/pypi/simple --extra-index-url https://pypi.org/simple <包名>

此命令会让pip优先查询私有索引，私有索引无对应包时才去PyPI，但如果PyPI上出现同名且版本更高的恶意包，pip仍会选择高版本。

三、验证效果 #

执行严格安装命令后，若私有索引中没有目标包，pip会直接抛出类似ERROR: Could not find a version that satisfies the requirement <包名>的错误，不会去PyPI拉取包，此时即可确认依赖混淆风险已消除。

内容的提问来源于stack exchange，提问作者Eric Wohnlich