पायथन आवश्यकताएँ पिन और संघर्ष जाँचकर्ता

--- name: python-requirements-pin-and-conflict-checker description: पाइप आवश्यकताओं और बाधाओं की फाइलों को ऑफ़लाइन जांचता है, इससे पहले कि वे बिल्ड को तोड़ दें - अनपिन और केवल-निचली-सीमा वाले पैकेज, फाइलों और मार्करों में PEP 440 स्पेसिफायर संघर्ष, कमिट हैश के बिना git refs, एडिटेबल और स्थानीय पथ, आंशिक हैश मोड, प्री-रिलीज़, --extra-index-url निर्भरता भ्रम, http इंडेक्स, stdlib बैकपोर्ट, रनटाइम फाइलों में डेव टूल्स और pip freeze ड्रिफ्ट। --self-test के साथ एक stdlib Python चेकर शामिल है। --- # Python Requirements Pin और Conflict Checker आप Python डेवलपर्स और DevOps इंजीनियरों की मदद करते हैं ताकि `pip install -r requirements.txt` उबाऊ हो जाए: हर मशीन पर समान संस्करण, रात 2 बजे कोई ResolutionImpossible नहीं, कोई पैकेज चुपचाप गलत इंडेक्स से नहीं लाया गया। अधिकांश टूटे इंस्टॉल कुछ पैटर्न से आते हैं जो फाइलों में दिखाई देते हैं: एक बाधा फाइल जो आवश्यकता का खंडन करती है, बिना पिन के `requests`, `@main` पर एक git निर्भरता, `--hash` वाली एक पंक्ति जो पूरी फाइल को हैश मोड में बदल देती है, या एक अतिरिक्त इंडेक्स जो सार्वजनिक पैकेज को आंतरिक पैकेज पर छाया डालने देता है। आप हर फाइल पढ़ते हैं जिसे pip पढ़ेगा, वास्तविक PEP 440 नियमों के साथ स्पेसिफायर की जांच करते हैं, और परिणाम को एक छोटी फिक्स सूची और लॉक-फाइल योजना में बदल देते हैं। ## इस स्किल में फाइलें - `scripts/req_check.py` - आवश्यकता फाइलों को pip की तरह पार्स करता है (`-r` इन्क्लूड, `-c` बाधाएं, लाइन निरंतरता, टिप्पणियां, एक्स्ट्रा, PEP 508 मार्कर, `--hash`, इंडेक्स विकल्प, VCS/URL/एडिटेबल लाइनें), `~=`, वाइल्डकार्ड और प्री-रिलीज़ सहित PEP 440 स्पेसिफायर का मूल्यांकन करता है, प्रति मार्कर वातावरण हर स्पेसिफायर को संतुष्ट करने वाले संस्करण की खोज करता है, `pip freeze` आउटपुट के साथ तुलना करता है, और PR01-PR14 निष्कर्ष रिपोर्ट करता है (केवल Python 3.8+ मानक पुस्तकालय, कोई नेटवर्क नहीं) - `references/specifiers-and-markers.md` - PEP 440 ऑपरेटर, प्री-रिलीज़ नियम, बाधाएं बनाम आवश्यकताएं, मार्कर मूल्यांकन, और चेकर ट्रांज़िटिव निर्भरताएं क्यों नहीं देख सकता - `references/pinning-strategy.md` - ऐप्स बनाम लाइब्रेरी, requirements.in + लॉक वर्कफ़्लो, हैश, इंडेक्स और सप्लाई-चेन स्वच्छता, और प्रत्येक निष्कर्ष कोड का अर्थ - `templates/requirements-review.md` - वापस देने के लिए समीक्षा - `examples/requirements.txt` - एक Django इनवॉइस सेवा जिसमें टाइपो, git ब्रांच निर्भरता, अतिरिक्त इंडेक्स, मार्कर-विभाजित numpy, डुप्लिकेट Django, enum34 और रनटाइम में pytest है - `examples/constraints.txt` - प्लेटफ़ॉर्म टीम की बाधा फाइल जो उन दो आवश्यकताओं का खंडन करती है - `examples/req-report.md` - उन फाइलों पर वास्तविक चेकर आउटपुट ## वर्कफ़्लो ### 1. इनपुट एकत्र करें लक्ष्य के लिए pip द्वारा पढ़ी जाने वाली हर फाइल पूछें: मुख्य आवश्यकता फाइल, वह सब जो `-r` या `-c` के साथ शामिल करती है, साथ ही CI और Dockerfiles से `pip.conf` / `PIP_INDEX_URL` / `PIP_EXTRA_INDEX_URL` सेटिंग्स (फाइल के बाहर इंडेक्स विकल्प चेकर के लिए अदृश्य हैं; उन्हें हाथ से जोड़ें)। पूछें कि क्या प्रोजेक्ट एक **ऐप** है (तैनात सेवा, नोटबुक इमेज, कंटेनर के रूप में भेजा गया CLI: पिन अपेक्षित) या एक **लाइब्रेरी** (अन्य प्रोजेक्ट्स द्वारा स्थापित: रेंज अपेक्षित), यह किन Python संस्करणों और प्लेटफ़ॉर्मों को लक्षित करता है, और उस वातावरण से `pip freeze` जो गलत व्यवहार करता है। ### 2. चेकर चलाएं ``` python3 scripts/req_check.py examples/requirements.txt python3 scripts/req_check.py requirements.txt --python 3.12 --platform linux python3 scripts/req_check.py requirements.txt requirements-dev.txt --installed freeze.txt python3 scripts/req_check.py requirements.txt --mode lib --json python3 scripts/req_check.py --self-test ``` निकास 0 = कोई उच्च निष्कर्ष नहीं, 1 = उच्च निष्कर्ष, 2 = एक फाइल पढ़ी नहीं जा सकी। `--python` के बिना, प्रत्येक मार्कर संयोजन को अपने स्वयं के वातावरण के रूप में जांचा जाता है; इसके साथ, जिन पंक्तियों के मार्कर लागू नहीं होते उन्हें हटा दिया जाता है। शेल के बिना, `references/specifiers-and-markers.md` के साथ लाइन दर लाइन जाएं और प्रत्येक पैकेज के संयुक्त स्पेसिफायर को एक ठोस संस्करण के खिलाफ परीक्षण करें। ### 3. परिणाम पढ़ें - पहले इंस्टॉल ब्लॉकर्स: PR03 (कोई संस्करण संयुक्त स्पेसिफायर को संतुष्ट नहीं करता), PR07 (आंशिक हैश मोड), PR13 (पंक्तियाँ जिन्हें pip अस्वीकार करता है)। ये किसी भी इंस्टॉल से पहले विफल होते हैं। - सप्लाई चेन: PR09 अतिरिक्त इंडेक्स, PR10 http या विश्वसनीय होस्ट, PR05 git refs जो स्थानांतरित हो सकते हैं, PR11 नकली या खतरनाक पैकेज (`sklearn`, `enum34`, `pycrypto`)। - पुनरुत्पादन क्षमता: ऐप्स में PR01 अनपिन और PR02 खुली-छोर रेंज; लाइब्रेरी में, PR02 सटीक पिन को फ्लैग करता है जो उपयोगकर्ताओं पर संस्करण थोपेंगे। - ड्रिफ्ट: PR12 दिखाता है कि चल रहा वातावरण फाइलों से कहां भिन्न है। - सफाई: PR04 डुप्लिकेट, PR06 एडिटेबल/स्थानीय पथ, PR08 प्री-रिलीज़, PR14 रनटाइम फाइलों में डेव टूल्स। ### 4. फिक्स और लॉक करें प्रत्येक संघर्ष को यह तय करके हल करें कि कौन सा पक्ष सही है (अक्सर बाधा पुरानी होती है; नए संस्करण का चेंजलॉग जांचें), फिर इंटेंट-स्तरीय रेंज को `requirements.in` में ले जाएं और pip-tools या uv के साथ पिन किया हुआ, हैश किया हुआ लॉक उत्पन्न करें (`references/pinning-strategy.md`)। लॉक पर चेकर फिर से चलाएं: इसे कोई उच्च या मध्यम निष्कर्ष के साथ वापस आना चाहिए। बिना पूछे कि इसका मालिक कौन है, बाधा को हटाकर संघर्ष को कभी "ठीक" न करें। ### 5. डिलीवर करें `templates/requirements-review.md` भरें: फैसला, सटीक प्रतिस्थापन पंक्तियों के साथ ब्लॉकर्स, सप्लाई-चेन परिवर्तन, लॉक वर्कफ़्लो और CI कमांड, और प्रत्येक परिवर्तन के लिए एक मालिक। ## उदाहरण परिणाम `examples/requirements.txt` पर चेकर 6 उच्च निष्कर्ष पाता है। दो संघर्ष pip को विफल करते हैं: प्लेटफ़ॉर्म बाधा `urllib3<2` के खिलाफ `urllib3>=2.2`, और Python 3.9+ के लिए बाधा `numpy==1.26.4` के खिलाफ `numpy>=2.1` (Python < 3.9 शाखा ठीक है)। `pandas=2.2.3` एकल `=` का उपयोग करता है और अस्वीकार कर दिया जाता है। `pdf-stamp` `@main` से एडिटेबल स्थापित है, आंतरिक इंडेक्स `--extra-index-url` के साथ जोड़ा गया है (`acme-billing-core` के लिए निर्भरता भ्रम जोखिम), और `enum34` आधुनिक Python पर मानक पुस्तकालय `enum` को तोड़ता है। मध्यम और निम्न: खुली-छोर `whitenoise` और `urllib3`, एडिटेबल इंस्टॉल, Django दो बार `Django` और `django` के रूप में घोषित, और रनटाइम फाइल में `pytest`। ## नियम - pip द्वारा पढ़ी जाने वाली हर फाइल पढ़ें, जिसमें बाधाएं और इन्क्लूड शामिल हैं; अकेले एक फाइल संघर्षों को छिपाती है। - स्ट्रिंग तुलना के बजाय PEP 440 शब्दार्थ का उपयोग करें (`2.10` > `2.9`, `~=2.1` 2.9 की अनुमति देता है लेकिन 3.0 नहीं, `<2.0` `2.0rc1` को बाहर करता है)। - स्पष्ट रूप से कहें कि चेकर केवल घोषित पैकेज देखता है: ट्रांज़िटिव संघर्ष और CVE के लिए रिज़ॉल्वर (`pip install --dry-run`, `pip-compile`, `uv pip compile`) और `pip-audit` की आवश्यकता है। - हाथ से पिन के बजाय एक उपकरण द्वारा उत्पन्न लॉक फाइल पसंद करें; संस्करण संख्याएं कभी आविष्कार न करें - उन्हें वर्तमान वातावरण, लॉक, या पैकेज चेंजलॉग से लें। - इंडेक्स और VCS निष्कर्षों को सुरक्षा मुद्दों के रूप में मानें, शैली के रूप में नहीं।