如何通过Bazel安装Python，解决CI容器中py_wheel构建报错问题？

核心结论 #

完全可以通过Bazel的Python工具链实现封闭构建，不需要在CI的Docker容器中预安装Python。问题根源是默认脚本的shebang依赖系统Python路径，通过配置工具链可彻底规避这个问题。

解决步骤 #

1. 引入并配置rules_python工具链 #

借助rules_python的python_register_toolchains规则，让Bazel自动下载指定版本的预编译Python二进制包，完全脱离系统环境依赖。

在项目的WORKSPACE文件中添加以下配置：

# 加载rules_python规则集
http_archive(
    name = "rules_python",
    sha256 = "f8a67f5a0037610849d94d74bc4a2ee3d464a9542c1df771d4178b69c4e7977d",
    url = "https://github.com/bazelbuild/rules_python/releases/download/0.25.0/rules_python-0.25.0.tar.gz",
)

# 注册指定版本的Python工具链（以3.10为例）
load("@rules_python//python:repositories.bzl", "python_register_toolchains")
python_register_toolchains(
    name = "python3_10",
    python_version = "3.10",
)

# 将工具链注册到Bazel全局可用
register_toolchains("@python3_10//:all")

2. 强制Bazel使用工具链的Python #

在项目根目录的.bazelrc文件中添加配置，确保所有构建环节都优先使用工具链提供的封闭Python环境：

build --python_top=@python3_10//:python3
build --python_path=@python3_10//:python3

3. 验证构建逻辑 #

配置完成后，Bazel会在首次构建时自动下载对应平台的Python二进制包，后续所有py_wheel、py_binary等规则都会使用这个封闭环境：

• 构建过程中执行的Python脚本会直接调用Bazel下载的二进制，不再依赖/usr/bin/env python3
• Docker容器无需安装任何Python相关包，保持环境极简且符合封闭性要求

为什么之前的尝试失败？ #

你提到的方案核心思路正确，但可能遗漏了两个关键配置：

• 未通过register_toolchains将下载的Python工具链注册到Bazel的全局工具链列表
• 未在.bazelrc中强制指定默认Python工具链，导致Bazel仍尝试 fallback 到系统Python路径

额外注意 #

如果你的构建需要编译Python扩展（比如Cython模块），CI容器仍需保留gcc等编译工具，但这仅用于扩展代码的构建，不影响Python运行环境的封闭性。

内容的提问来源于stack exchange，提问作者Ibolit