Python内部CLI工具：如何将Pipfile.lock间接依赖导入setup.py？

Hey there! Let's work through this problem step by step—since you're building an internal Python CLI tool distributed like httpie or ansible, and you want to fix those environment mismatch bugs by locking down transitive dependencies with pipenv, here are your best approaches:

方案1：从Pipfile.lock提取所有依赖（含传递依赖）到setup.py #

Pipfile.lock stores exact versions of every dependency your tool needs—both direct and transitive. You can either extract these manually or automate the process:

• Manual extraction: Open your Pipfile.lock, look for the default section. Each entry looks like "package-name": {"version": "==x.y.z", ...}. Copy these into the install_requires list in your setup.py, like this:

  from setuptools import setup
  
  setup(
      name="your-cli-tool",
      version="0.1.0",
      install_requires=[
          "requests==2.31.0",
          "click==8.1.7",
          # Add all packages + exact versions from Pipfile.lock's default section
      ],
      # Other setup configs...
  )
  

• Automated extraction: Write a tiny Python script to parse Pipfile.lock and generate the list for you:

  import json
  
  with open("Pipfile.lock", "r") as f:
      lock_data = json.load(f)
  
  install_requires = []
  for pkg, details in lock_data["default"].items():
      # Handle version strings to match setup.py's required format
      version = details["version"].replace("=", "", 1) if details["version"].startswith("=") else details["version"]
      install_requires.append(f"{pkg}{version}")
  
  # Print the list ready to copy into setup.py
  print("\n".join(install_requires))
  

  Run this script, copy its output into your setup.py, and you're done. This ensures every environment gets exactly the dependency versions you tested.

方案2：结合Pipenv与setup.py做内部分发 #

如果你的团队已经在使用Pipenv，可以完全跳过手动提取依赖的步骤：

• 让同事们用pipenv install -e .（可编辑模式）或pipenv install /path/to/your/package安装工具。Pipenv会自动使用Pipfile.lock里的精确版本（包括传递依赖），确保所有人的环境完全一致。
• 如果需要分发wheel或源码包供pip install使用，你还是需要用方案1把依赖锁定到setup.py里，但这种方式对已经用Pipenv的内部团队非常友好。

方案3：改用pyproject.toml（现代推荐方案） #

Python的打包生态已经转向pyproject.toml作为标准配置文件，它和Pipenv的配合度更高：

1. 为你的包创建pyproject.toml文件（可以保留极简的setup.py，大部分配置都能迁移到这里）：

   [project]
   name = "your-cli-tool"
   version = "0.1.0"
   dependencies = []
   

2. 运行pipenv lock --requirements生成包含所有精确依赖的requirements.txt格式列表，把这些内容复制到pyproject.toml的dependencies数组中。
3. 现在，当你构建或安装包时，Python的打包工具会严格遵循这些精确版本，和Pipenv的行为完全一致，比手动维护setup.py更整洁。

关键注意事项 #

• 在干净环境测试: 一定要在全新的虚拟环境中安装工具，验证所有依赖是否被正确拉取，功能是否正常。
• 内部工具锁定版本很安全: 因为不需要兼容外部用户的冲突依赖，把每个依赖都固定到精确版本是消除环境bug的绝佳方式。
• 定期更新依赖: 当需要升级包时，运行pipenv update重新生成锁文件，然后同步更新setup.py或pyproject.toml里的依赖列表。

内容的提问来源于stack exchange，提问作者OMOTO Kenji