如何在Dockerfile中正确升级pip兼顾兼容性与可复现性？

日常常用的构建操作 #

在为Python项目构建镜像的Dockerfile中，我们通常会使用如下命令将pip升级到最新版本：
RUN pip install --upgrade pip

突发的构建故障 #

该命令此前一直运行正常，但近期镜像构建突然失败：由于使用的基础镜像Python版本为3.6.1，而最新发布的pip 21.1版本要求Python版本≥3.6.2，执行升级操作时会直接抛出ImportError: cannot import name NoReturn错误。

核心待解问题 #

除了直接升级Python运行时版本解决该兼容性问题外，围绕Docker场景下的pip管理，还有两个关键问题需要厘清：

• 无版本约束的pip升级操作，是否真的有执行的必要？这种操作会导致pip版本随时间持续变动，无法产出可复现的镜像，本质上违背了Docker构建可复现环境的设计理念。
• 长期来看，pip版本的管理策略应该如何选择：
  • 是否应该直接给pip锁定确切的固定版本，哪怕这个版本后续会逐渐过时，以此保障构建的可复现性？
  • 是否存在更平衡的方案，能在新的pip版本发布后，既避免兼容性故障导致构建中断，又能保障镜像构建流程长期稳定运行？

内容的提问来源于stack exchange，提问作者piwai