pip-audit中如何排除指定依赖解决重定向超限报错

方案1：直接使用原生排除参数（推荐） #

先执行pip-audit --version确认版本，2.4.0及以上版本原生提供包排除参数，执行审计时直接指定要跳过的包名即可，不会修改任何本地依赖配置：

pip-audit --exclude deep-security-api
# 短参数写法
pip-audit -x deep-security-api

如果需要同时排除多个包，重复传入-x/--exclude参数追加包名即可。

方案2：低版本兼容方案（无原生排除参数时使用） #

如果你的pip-audit版本低于2.4.0不支持--exclude参数，可以先导出过滤掉目标包的依赖清单，再指定清单作为审计输入，跳过对问题包的查询：

• 第一步：导出当前环境依赖，过滤掉deep-security-api后写入临时审计用的依赖文件：

  # 通用pip环境
  pip freeze | grep -v deep-security-api > requirements.audit.txt
  
  # pipenv环境用这个命令导出
  pipenv requirements | grep -v deep-security-api > requirements.audit.txt
  

• 第二步：指定过滤后的依赖文件执行审计，pip-audit就不会再查询已排除的包信息：

  pip-audit -r requirements.audit.txt
  

• 第三步：审计完成后删除临时生成的requirements.audit.txt即可。

故障原因说明：本地安装的deep-security-api在包元数据中保留了原PyPI项目的索引地址，pip-audit执行时默认会向PyPI请求该包的版本、漏洞信息，而该包被PyPI下架后返回的重定向响应存在循环，触发30次重定向上限后抛出requests.exceptions.TooManyRedirects异常，排除该包后不会再发起对应请求，故障即可消除。

内容的提问来源于stack exchange，提问作者Paul Waldo