使用Pipenv更新GitLab私有PyPI包时遇依赖冲突及卸载报错

问题背景 #

我们将内部开发的Python包部署至GitLab包仓库，在Pipfile中配置如下GitLab源后，使用pipenv install <our-package> --index=<our-index>可正常安装：

[[source]]
url = "https://${CI_DEPLOY_USER}:${CI_DEPLOY_PASSWORD}@<our-git-adress>/api/v4/projects/<package-project-number>/packages/pypi/simple"
verify_ssl = true
name = "<our-index>"

但执行pipenv update <package> --index=<our-index>更新包时，出现依赖冲突错误：

CRITICAL:pipenv.patched.pip._internal.resolution.resolvelib.factory:Cannot install because these package versions have conflicting dependencies.

经排查，该包无依赖且其他包不依赖它。执行pipenv uninstall <our-package> --index=<our-index>卸载时触发语法错误，仅从Pipfile移除包但未更新Pipfile.lock；卸载后重新安装可获取新版本，直接指定版本号pipenv install <our-package>==0.1.5 --index=<our-index>安装也正常。当前使用版本：Python 3.12.2、pip 24.0、pipenv 2023.12.1。

原因分析 #

• Pipenv命令参数解析逻辑缺陷：pipenv update和uninstall命令对--index参数的支持不完善，不像install命令能正确关联指定的私有源。例如uninstall时携带--index会触发语法错误，说明该命令并未适配这个参数，导致执行流程异常，仅修改了Pipfile却未同步更新Pipfile.lock。
• 依赖解析器的元数据获取异常：尽管包本身无依赖，但Pipenv基于resolvelib的依赖解析器在执行update时，可能无法正确从私有源拉取完整的包版本元数据，甚至误将全局PyPI源与私有源的信息混淆，进而错误判定存在依赖冲突（报错信息中未显示具体包名，也侧面印证了元数据获取失败的问题）。
• 版本兼容性问题：当前使用的Pipenv 2023.12.1发布于Python 3.12正式版之后不久，两者之间存在未修复的兼容性bug，尤其是在私有源交互、锁文件更新等场景下。

验证与临时解决方案 #

• 卸载操作无需携带--index参数：直接执行pipenv uninstall <our-package>，即可正确同步更新Pipfile和Pipfile.lock，避免触发语法错误。
• 更新操作可沿用已验证的有效方式：先卸载旧版本再重装，或直接指定目标版本号执行pipenv install <our-package>==<target-version> --index=<our-index>。
• 升级Pipenv至最新稳定版：尝试更新到2024.x系列版本，新版本通常会修复旧版本的私有源兼容bug以及Python 3.12适配问题，之后再测试pipenv update命令是否正常工作。

内容的提问来源于stack exchange，提问作者Boris Mulder