如何锁定pip依赖版本？解决Mezzanine与Bleach版本冲突问题

我来帮你一步步解决这个依赖版本冲突的问题，这类情况通常是其他依赖包悄悄要求了更高版本的Bleach，咱们从排查到解决逐个处理：

第一步：先找出是谁在强制升级Bleach #

要定位问题根源，最直接的方法是查看依赖树，搞清楚哪个包需要Bleach 2.0：

• 先安装依赖树工具（如果没装的话）：pip install pipdeptree
• 执行命令查看Bleach的依赖链条：pipdeptree | grep -A 5 -B 5 bleach
  这个命令会输出所有和Bleach相关的依赖关系，你能清楚看到哪个包明确要求了>=2.0的版本，就是它在触发升级。
• 也可以用简单的命令看当前Bleach的依赖者：pip show bleach，在Requires-Dist和Required-by字段里找线索。

第二步：锁定Bleach到1.5版本的几种方法 #

根据排查结果，你可以选择下面的方案：

1. 强制重装指定版本（快速临时解决） #

如果只是需要临时固定版本，直接强制重装：

pip install --force-reinstall bleach==1.5

如果有依赖冲突，这个命令会直接报错，告诉你哪个包需要更高版本的Bleach，正好帮你定位问题包。

2. 优化requirements.txt并禁止自动升级 #

• 除了在requirements.txt里写bleach==1.5，还可以加上版本范围限制：bleach>=1.5,<2.0，防止被升级到2.x版本。
• 安装依赖时加上--no-upgrade参数，告诉pip不要升级已安装的包：

  pip install -r requirements.txt --no-upgrade
  

  这个命令会严格按照requirements里的版本安装，不会主动升级任何包。

3. 使用pip-tools生成完全锁定的依赖文件 #

如果想彻底避免依赖版本漂移，推荐用pip-tools生成固定所有依赖版本的文件：

• 安装pip-tools：pip install pip-tools
• 创建requirements.in文件，写入你的基础依赖（比如mezzanine、bleach==1.5等）
• 执行pip-compile requirements.in，会生成一个requirements.txt，里面包含所有依赖的精确版本，包括间接依赖，以后安装时用这个文件就不会出现自动升级的情况了。

4. 用虚拟环境隔离系统依赖 #

强烈建议你用虚拟环境管理项目依赖，避免和系统Python的包互相影响：

• 创建虚拟环境：python -m venv my_mezzanine_env
• 激活虚拟环境：
  • Windows: my_mezzanine_env\Scripts\activate
  • Linux/macOS: source my_mezzanine_env/bin/activate
• 激活后再执行pip install -r requirements.txt，所有包都会安装在虚拟环境里，和系统Python完全隔离，不会被系统强制修改版本。

最坏情况：系统Python强制安装Bleach 2.0的处理 #

如果确实是系统Python的包被强制升级，绝对不要修改系统Python的包（会影响系统自带工具），解决方法：

• 立刻切换到虚拟环境（上面第4种方法），虚拟环境的依赖完全独立，不受系统影响。
• 如果必须用系统Python，使用--user参数安装到用户目录：

  pip install --user bleach==1.5
  

  这样包会安装在当前用户的~/.local/lib/pythonX.X/site-packages目录下，项目会优先使用这个位置的包，不会覆盖系统版本。

内容的提问来源于stack exchange，提问作者stakolee