安装公共Python包时避免私有PyPI仓库的密码校验请求

当前配置存在2处明确错误：

• 冗余重复配置：index是index-url的旧别名，你同时将index和extra-index-url配置为同一个私有源地址，属于完全无效的重复配置
• 存在安全风险：你未显式将公共PyPI设为主源，当前主源是私有仓库，pip会优先从私有源拉取包，若私有源存在和公共包同名的恶意包，会直接覆盖公共包安装，存在安全隐患。你日志中看到的先查pypi.org是pip内置的默认兜底逻辑，不属于你配置的预期行为。

核心逻辑是让pip安装公共包时完全不访问私有源，仅在安装私有包时才发起私有源请求，推荐以下两种兼容方案：

方案1：requirements按包指定源（全版本兼容，最稳妥） #

1. 先修正你的pip.ini配置如下：

[global]
trusted-host = files.pythonhosted.org
               pypi.python.org
               pypi.org
               nexus.mycompany.com
index-url = https://pypi.org/simple
cert = C:\path\to\cert.pem

2. 在项目的requirements.txt中，仅给私有包单独指定私有源地址，公共包无需额外配置：

pandas==2.2.0
numpy==1.26.4
# 私有包单独标注源
my-company-package==1.3.0 --index-url https://nexus.mycompany.com/repository/something-snapshots/simple
another-internal-tool==0.9.2 --index-url https://nexus.mycompany.com/repository/something-snapshots/simple

执行pip install -r requirements.txt时，公共包只会走官方PyPI源，不会访问私有源，也就不会触发凭证校验；只有安装私有包时才会请求私有源，弹出凭证输入提示。

方案2：pip多源匹配配置（适合pip 23.3+版本，无需修改requirements） #

如果你司所有私有包都有统一的命名前缀（比如全部以myco-开头），可以直接在pip.ini中配置包名匹配规则，仅匹配前缀的包才会走私有源：

[global]
trusted-host = files.pythonhosted.org
               pypi.python.org
               pypi.org
               nexus.mycompany.com
index-url = https://pypi.org/simple
cert = C:\path\to\cert.pem

[install]
extra-index-url = https://nexus.mycompany.com/repository/something-snapshots/simple

[package-overrides]
myco-* = https://nexus.mycompany.com/repository/something-snapshots/simple

内容的提问来源于stack exchange，提问作者Pablo