如何固化Python构建工具以实现可重复构建？

1. 查看pip install构建时使用的Cython等工具版本 #

• 启用pip verbose日志：执行pip install -v <目标包名>，在输出日志中搜索关键词（如Cython），会显示类似Using Cython version 3.10.0的明确版本信息
• 检查pip构建缓存日志：查看Docker容器内~/.cache/pip/log目录下的日志文件，里面记录了构建过程中所有依赖的版本
• 临时验证版本：在构建流程中插入命令，比如cython --version或pip show cython，直接输出当前环境中工具的版本（需确保工具已被安装）

2. 强制后续构建使用指定版本的构建工具 #

有三种可靠方案，按优先级排序：

• 通过pyproject.toml声明构建依赖（推荐，符合PEP 518标准）：在项目根目录创建pyproject.toml文件，明确指定构建所需工具的版本：

  [build-system]
  requires = ["setuptools>=65.0.0", "wheel==0.41.2", "cython==0.29.36"]
  build-backend = "setuptools.build_meta"
  

  pip会严格按照此配置安装构建工具，再进行目标包的编译
• 在requirements.txt提前指定版本：将指定版本的构建工具放在目标包之前，比如：

  cython==0.29.36
  wheel==0.41.2
  metrohash==1.1.3
  # 其他依赖...
  

• Dockerfile中提前安装固定版本：在执行pip install -r requirements.txt前，单独安装指定版本的构建工具：

  RUN pip install --no-cache-dir cython==0.29.36 wheel==0.41.2
  RUN pip install --no-cache-dir -r requirements.txt
  

3. 识别其他类似的隐式构建依赖包 #

常见的隐式构建依赖 #

• 编译绑定工具：Cython、pybind11、cffi
• 构建框架：setuptools、wheel、meson-python、scikit-build
• 数值计算依赖：numpy（部分科学计算包编译时需依赖numpy的头文件）

识别方法 #

• 查看目标包的pyproject.toml文件：其中build-system.requires字段会明确列出官方要求的构建依赖
• 分析pip verbose构建日志：观察安装目标包前自动下载的包，这些就是隐式构建依赖
• 干净环境测试：在全新的Docker容器（仅含基础Python镜像）中执行pip install -v <目标包>，记录所有自动安装的工具包
• 查阅包的官方文档：多数需要编译的包会在文档中说明构建所需的前置工具

内容的提问来源于stack exchange，提问作者macdjord