Pipenv包哈希与锁定文件不匹配，如何复用旧Docker构建的wheel文件？

1. 提取历史Docker镜像/容器中的gunicorn wheel #

首先找到之前成功构建的Docker镜像或容器：

docker images  # 列出所有本地镜像，定位目标构建镜像
docker ps -a   # 查看已停止的容器，找到对应构建实例

然后通过临时容器或直接复制的方式把wheel文件导出到本地：

# 从镜像导出：启动临时容器并复制wheel到本地wheels目录
docker run --rm -v $(pwd)/wheels:/tmp/wheels <目标镜像ID> \
  cp $(pip show gunicorn | grep Location | awk '{print $2}')/gunicorn-20.1.0-py3-none-any.whl /tmp/wheels/

# 从已停止容器导出：直接复制文件到本地
docker cp <目标容器ID>:$(docker exec <目标容器ID> pip show gunicorn | grep Location | awk '{print $2}')/gunicorn-20.1.0-py3-none-any.whl ./wheels/

2. 配置Pipenv强制使用本地wheel #

• 在项目根目录创建wheels文件夹，将提取的wheel文件放入其中。
• 修改Pipfile，为gunicorn指定本地路径：

[packages]
gunicorn = {path = "./wheels/gunicorn-20.1.0-py3-none-any.whl", version = "==20.1.0"}

• 生成匹配的锁定文件（保留旧版本依赖）：

pipenv lock --keep-outdated

• 执行安全部署安装：

pipenv install --deploy

3. 关键安全校验步骤 #

导出wheel后，务必手动验证其哈希值是否与锁定文件中的预期值一致：

sha256sum ./wheels/gunicorn-20.1.0-py3-none-any.whl

确认输出为e0a968b5ba15f8a328fdfd7ab1fcb5af4470c28aaf7e55df02a99bc13138e6e8，确保文件未被篡改。

长期来看，建议搭建内部私有PyPI仓库，存储经过验证的可信包，彻底避免外部源变更带来的风险。

内容的提问来源于stack exchange，提问作者Alex Bailey