如何在.pre-commit-config.yaml中安全配置私有仓库及本地依赖？

一、安全配置私有仓库凭证（避免明文账号密码） #

推荐两种安全方案，按可靠性排序：

方案1：pip配置文件+netrc存储凭证（最安全） #

1. 创建项目级pip配置
   在项目根目录新建pip.conf（Linux/macOS）或pip.ini（Windows），配置私有仓库与默认PyPI的双索引：

   [global]
   index-url = https://mycompany.com/api/pypi/pypi-bld/simple
   extra-index-url = https://pypi.org/simple  # 兼容公共PyPI仓库
   [install]
   trusted-host = mycompany.com  # 信任私有仓库域名，避免SSL校验报错
   

2. 用netrc存凭证
   在用户主目录创建~/.netrc（Linux/macOS）或%USERPROFILE%\_netrc（Windows），写入私有仓库账号密码：

   machine mycompany.com
   login 你的私有仓库账号
   password 你的私有仓库密码
   

   Linux/macOS用户需执行chmod 600 ~/.netrc，限制文件仅自己可读，防止泄露。

3. 简化pre-commit配置
   删除additional_dependencies里的--index-url及凭证部分，改为：

   additional_dependencies: ['requests', 'mylocal-package']
   

   此时pip会自动读取pip.conf的索引配置和netrc的凭证，无需在配置文件中暴露敏感信息。

方案2：环境变量替代明文凭证 #

1. 临时导出环境变量
   Linux/macOS终端执行：

   export MY_PYPI_USER="你的私有仓库账号"
   export MY_PYPI_PASS="你的私有仓库密码"
   

   Windows终端执行：

   set MY_PYPI_USER=你的私有仓库账号
   set MY_PYPI_PASS=你的私有仓库密码
   

   也可用direnv工具在项目目录自动加载环境变量，省去手动输入步骤。

2. 修改pre-commit配置
   在additional_dependencies中引用环境变量：

   additional_dependencies:
     - '--index-url=https://${MY_PYPI_USER}:${MY_PYPI_PASS}@mycompany.com/api/pypi/pypi-bld/simple'
     - requests
     - mylocal-package
   

二、指定pre-commit使用自定义virtualenv的pip #

可以实现，提供两种常用方式：

方式1：直接复用已有virtualenv #

修改local hook配置，指定virtualenv的Python路径，让pre-commit跳过独立虚拟环境创建：

- repo: local
  hooks:
    - id: unittest
      name: unittest
      entry: ./venv/bin/python -m unittest discover  # 替换为你的virtualenv的Python路径
      language: system  # 告知pre-commit使用指定的virtualenv环境
      types: [python]
      pass_filenames: false
      stages: [commit]
      additional_dependencies: ['requests', 'mylocal-package']  # 依赖用virtualenv的pip安装

方式2：通过PATH优先级指定 #

让pre-commit创建的虚拟环境优先使用指定virtualenv中的pip工具：

- repo: local
  hooks:
    - id: unittest
      name: unittest
      entry: python -m unittest discover
      language: python
      language_version: "3.9"
      types: [python]
      pass_filenames: false
      stages: [commit]
      env:
        - PATH=./venv/bin:$PATH  # 替换为你的virtualenv的bin目录路径
      additional_dependencies: ['requests', 'mylocal-package']

内容的提问来源于stack exchange，提问作者Eugene W.