pip show与PyPI API依赖差异及离线部署脚本实现疑问

一、为什么两者的依赖列表不一样？ #

两者的差异本质是场景不同，不存在谁对谁错：

• pip show的Requires:字段，显示的是当前环境中实际安装的依赖。它会根据你的Python版本、操作系统、已安装包等条件，自动过滤掉不满足条件的依赖（比如Django的backports.zoneinfo只在Python<3.9时需要，你的环境是Python3.9+，所以不会出现在这里），同时排除可选依赖（比如argon2-cffi是argon2额外功能的依赖，默认安装Django不会触发安装）。
• PyPI API的requires_dist字段，返回的是包在PyPI上声明的完整依赖集合，包含所有条件依赖、版本约束、可选依赖。这些依赖是否会被安装，完全取决于具体的安装环境和安装选项（比如是否指定[argon2]这类额外依赖）。

拿你给出的Django例子来说：

• 你的环境是Windows（所以tzdata被安装，出现在pip show里）、Python版本>=3.9（所以backports.zoneinfo没被安装，不在pip show里），且是默认安装未加额外依赖（所以argon2-cffi、bcrypt也不在列表中）。
• PyPI API则把所有可能的依赖都列了出来，不管当前环境是否满足条件。

二、解析pip show命令行输出是不是好实践？ #

不推荐直接解析命令行输出。原因很明确：pip show的文本输出是面向人类阅读设计的，pip官方不会保证其格式长期稳定——不同pip版本可能调整输出的排版、字段顺序甚至字段名称，一旦格式变更，你的脚本直接就会失效。

更好的替代方案 #

针对离线部署的场景，推荐两种更可靠的方式：

1. 用pip show --json输出结构化数据
   pip支持--json参数，直接输出机器友好的JSON格式，示例命令：

   py -m pip show --json django
   

   输出的JSON里包含requires字段，内容和pip show文本里的Requires:完全一致，但格式稳定，解析起来更安全，不用处理文本格式的不确定性。

2. 直接调用PyPI API并自行过滤依赖
   如果你的离线机器环境和构建脚本的环境不一致（比如离线机器是Linux，而你在Windows上运行脚本；或者离线机器用Python3.8，你用Python3.10），那直接用PyPI API获取完整依赖，再根据目标环境的条件（Python版本、操作系统等）过滤出需要的依赖，会更准确。
   比如你需要为Python3.8的Linux环境准备依赖，就可以过滤掉tzdata（Linux不需要），保留backports.zoneinfo，同时排除可选依赖。

总结 #

• 如果离线环境和构建环境完全一致：用pip show --json最省心，既得到了实际需要的依赖，又避免了解析文本的风险。
• 如果离线环境和构建环境不同：用PyPI API获取完整依赖，再根据目标环境的参数过滤，能确保依赖完全适配离线机器。

内容的提问来源于stack exchange，提问作者be-cieutat