如何无需命令行输密从JFrog Artifactory私有PyPI仓库安装Python包？

我帮你梳理下解决这个问题的几种靠谱办法——毕竟在命令行明文输密码确实风险高，容易留在历史记录里泄露。不管你用pip还是pipenv，都有不用直接输密码的方案：

1. 用pip配置文件存凭证（最推荐） #

pip允许你把仓库地址和凭证预先存在配置文件里，之后安装包时自动调用，完全不用在命令行碰敏感信息：

• Linux/macOS用户：配置文件路径是~/.config/pip/pip.conf，不存在的话直接创建这个文件和目录就行
• Windows用户：路径是%APPDATA%\pip\pip.ini

配置内容示例（替换掉尖括号里的内容）：

[global]
index-url = http://<你的用户名>:<你的凭证（密码或Set Me Up生成的衍生密码）>@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple

如果需要同时用官方PyPI和私有仓库，就用extra-index-url代替index-url，这样pip会先查官方仓库，再查你的私有仓库：

[global]
extra-index-url = http://<你的用户名>:<你的凭证>@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple

配置好之后，直接跑pip install <你的包名>就会自动用配置里的凭证访问私有仓库了。

2. 用环境变量临时传递凭证 #

如果不想修改配置文件，也可以用环境变量临时设置，会话结束后就失效，适合临时使用：

# Linux/macOS终端
export PIP_INDEX_URL=http://<你的用户名>:<你的凭证>@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple
pip install <你的包名>

# Windows PowerShell
$env:PIP_INDEX_URL = "http://<你的用户名>:<你的凭证>@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple"
pip install <你的包名>

pipenv底层是依赖pip的，所以上面的pip配置文件方案完全适用。另外还有两种专门针对pipenv的方式：

1. 设置PIPENV_PYPI_MIRRORS环境变量 #

直接用这个环境变量指定带凭证的私有仓库地址：

# Linux/macOS终端
export PIPENV_PYPI_MIRRORS="http://<你的用户名>:<你的凭证>@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple"
pipenv install <你的包名>

# Windows PowerShell
$env:PIPENV_PYPI_MIRRORS = "http://<你的用户名>:<你的凭证>@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple"
pipenv install <你的包名>

2. 在Pipfile中引用环境变量（避免明文密码） #

如果你想把仓库信息写到Pipfile里，但又不想暴露明文密码，可以用环境变量占位：

[[source]]
url = "http://${PYPI_USER}:${PYPI_PASSWORD}@<Artifactory主机名>/artifactory/api/pypi/<私有仓库名称>/simple"
verify_ssl = true
name = "artifactory"

然后预先设置好环境变量PYPI_USER和PYPI_PASSWORD，再跑pipenv install <你的包名>就行——这样Pipfile里不会留任何敏感信息。

• 确认你用的凭证（不管是登录密码还是Set Me Up生成的衍生密码）有访问目标私有PyPI仓库的权限，不然还是会报错
• 绝对不要在命令行直接输入带凭证的URL！shell的历史记录（比如Linux的~/.bash_history）会存下来，风险极高
• 如果你的Artifactory支持HTTPS，尽量用https://开头的地址，凭证在传输过程中会加密，更安全

内容的提问来源于stack exchange，提问作者Damian Moore