Poetry执行install时尝试从私有仓库拉取所有依赖触发403报错

这是Poetry 1.1.x全系列版本的固有逻辑缺陷，和配置操作无关：

• 1.1版本中secondary = true参数的实际行为与文档描述不符：配置后Poetry不会仅在默认源找不到包时才访问次源，而是会对所有直依赖、所有层级的子依赖，向所有已配置的源（包括次要源）发起查询请求
• 该版本的源错误处理逻辑存在漏洞：查询源时如果收到403状态码，不会像收到404那样自动跳过该源继续查询其他源，而是直接抛出RepositoryError中断依赖解析流程，这就是公共包mypy不存在于私有源却依然触发报错的核心原因。
  所有常规配置调整都无法绕开这个版本级的逻辑bug，这也是多次尝试配置修改都无效的根本原因。

按落地成本从低到高排序：

方案1：升级Poetry至1.2及以上稳定版本 #

1.2版本重构了整个多源依赖解析逻辑，完全修复了上述问题：

• 次要源仅会在默认源查询不到对应包时才会被访问
• 源返回401/403状态码时会自动跳过并输出警告日志，不会直接中断解析流程
  升级后保留原有pyproject.toml配置即可正常使用，无需额外调整参数。
  升级命令参考：

# 官方脚本安装/升级
curl -sSL https://install.python-poetry.org | python3 -
# pip方式安装/升级
pip install --upgrade poetry>=1.2.0

方案2：锁定1.1.x版本时的兼容规避 #

如果受项目环境约束无法升级Poetry，可通过以下方式绕开bug：

1. 删除pyproject.toml中所有[[tool.poetry.source]]配置段，同时删除全局配置中的私有源地址
2. 不对私有源做全局配置，私有包通过直链地址、本地路径或Git地址直接声明依赖，避免Poetry为查找私有包遍历私有源查询所有公共依赖。
   配置示例：

[tool.poetry.dependencies]
# 直接指定私有包的wheel包直链，无需配置全局私有源
private_package = { url = "https://url/to/private_repo/private_package/private_package-0.1.0-py3-none-any.whl" }

该配置下Poetry只会从给定直链下载私有包，不会向私有源地址查询其他公共依赖，不会触发403报错。

方案3：调整私有仓库返回规则 #

如果拥有私有仓库的管理权限，可修改仓库配置：将匿名用户访问不存在包路径时的返回码从403调整为404。Poetry 1.1遇到404返回时会自动跳过该源继续查询PyPI，也可解决问题。

• 为单个直依赖显式指定source = "pypi"仅能约束直依赖的拉取源，无法约束依赖树中所有层级的子依赖，Poetry依然会向所有配置的源查询子依赖
• 全局配置私有源与项目级配置的源查询逻辑完全一致，不会改变错误处理规则
• 调整default、secondary参数的组合无法解决问题，根源是1.1版本无论参数如何组合，都会遍历所有源查询所有包，遇到403直接抛错
• 清理缓存仅会清除本地已下载的包文件，不会修改源查询逻辑，因此没有效果

内容的提问来源于stack exchange，提问作者elachere