如何用Ansible移除非显式安装且非依赖的冗余软件包？

我的库存文件仅指定主机需安装的顶层软件包，无需逐一列出所有依赖项。当库存中的包声明变更时，我需要实现：

• 移除所有未在列表中显式提及的软件包
• 但需保留作为其他包依赖项的包

现有模块的局限 #

内置的dnf模块在使用state: absent标记移除包时，会连带删除所有依赖该包的软件包——即使设置allowerasing: false也无法阻止这种行为，不符合我的需求。

当前的命令式实现（存在缺陷） #

我目前通过difference过滤器生成待移除候选列表，再用shell模块执行移除：

- name: 卸载不在当前包列表或依赖中的包
  ansible.builtin.shell:
    # 若为依赖包，`--test`会执行失败；否则可安全移除
    cmd: "rpm --test -e {{ item }} && rpm -e {{ item }}"
  loop: "{{ candidates_for_removal }}"

这个方案有明显问题：

1. 效率低下，逐个处理包而非批量操作
2. 完全是命令式逻辑，不符合Ansible的声明式理念
3. 无法自动处理迭代场景：部分初始--test失败的包，在其他包被移除后可能变为可安全卸载状态，但当前流程无法自动重复检查

理想的声明式目标 #

我希望实现一种声明式机制：只需定义需要安装的软件包列表，Ansible自动清理所有非必要的包（即不在列表中、也不是其他包依赖的包）。

注：dnf autoremove无法满足需求，因为旧包曾被之前版本的库存标记为显式安装，不会被autoremove识别为冗余包。

已尝试的无效方案 #

我试过Stack Overflow上的《Ansible yum module to install a list of packages AND remove any other packages》方案，但该方案无法检查包是否为其他包的依赖，使用state: absent会误删需要保留的依赖包。

内容的提问来源于stack exchange，提问作者Marcus Ilgner