技术债：依赖未锁定——pyproject 加版本上界 + Dockerfile 单一依赖源 #183

New Issue

tanzk · 2026-09-21T07:07:42+08:00

tanzk commented

2026-09-21 07:07:42 +08:00

背景

2026-09-21 技术债务盘点发现：backend/pyproject.toml 全部依赖使用 >= 范围（无上界），
且 backend/Dockerfile 第 30-42 行硬编码了一份与 pyproject 重复的依赖清单（含 pyproject
没有的 bcrypt>=4.0.0）——两份定义必然漂移。

实测漂移已发生（本地 .venv py3.14 vs 生产容器 py3.11）：

fastapi 0.139.2 vs 0.141.1、pandas 3.0.3 vs 3.0.5、alembic 1.18.5 vs 1.19.2 等

影响范围

backend/pyproject.toml（依赖版本上界）
backend/Dockerfile（依赖单一来源）

根因判断

>= 无上界 → 每次安装拉取最新，大版本升级（如 pandas 3→4、fastapi 0.x→1.0）可能静默破坏行为；
Dockerfile 与 pyproject 双清单 → 人为维护漂移。

处理动作

pyproject.toml 直接依赖全部加显式上界 >=X,<Y（基线=生产容器 2026-09 实测版本，锁主版本线）
Dockerfile 删除硬编码 pip install 清单，改为 pip install .（单一依赖源=pyproject）
本地验证 pip install --dry-run -e '.[dev]' 解析无冲突
CI 全量 ruff + pytest 通过

验收标准 / 关闭条件

pyproject.toml 每个直接依赖均有 < 上界
Dockerfile 无硬编码依赖清单，只从 pyproject 安装
本地 pip install --dry-run -e '.[dev]' 无解析冲突
CI（.gitea/workflows/test.yml）全量 ruff + pytest 通过

关联

技术债务盘点（2026-09-21 会话）

## 背景 2026-09-21 技术债务盘点发现：`backend/pyproject.toml` 全部依赖使用 `>=` 范围（无上界），且 `backend/Dockerfile` 第 30-42 行**硬编码了一份与 pyproject 重复的依赖清单**（含 pyproject 没有的 `bcrypt>=4.0.0`）——两份定义必然漂移。实测漂移已发生（本地 .venv py3.14 vs 生产容器 py3.11）： - fastapi 0.139.2 vs 0.141.1、pandas 3.0.3 vs 3.0.5、alembic 1.18.5 vs 1.19.2 等 ## 影响范围 - `backend/pyproject.toml`（依赖版本上界） - `backend/Dockerfile`（依赖单一来源） ## 根因判断 `>=` 无上界 → 每次安装拉取最新，大版本升级（如 pandas 3→4、fastapi 0.x→1.0）可能静默破坏行为； Dockerfile 与 pyproject 双清单 → 人为维护漂移。 ## 处理动作 - [x] `pyproject.toml` 直接依赖全部加显式上界 `>=X,<Y`（基线=生产容器 2026-09 实测版本，锁主版本线） - [x] `Dockerfile` 删除硬编码 pip install 清单，改为 `pip install .`（单一依赖源=pyproject） - [x] 本地验证 `pip install --dry-run -e '.[dev]'` 解析无冲突 - [x] CI 全量 ruff + pytest 通过 ## 验收标准 / 关闭条件 1. `pyproject.toml` 每个直接依赖均有 `<` 上界 2. `Dockerfile` 无硬编码依赖清单，只从 pyproject 安装 3. 本地 `pip install --dry-run -e '.[dev]'` 无解析冲突 4. CI（`.gitea/workflows/test.yml`）全量 ruff + pytest 通过 ## 关联 - 技术债务盘点（2026-09-21 会话）

tanzk added the tech-debt label 2026-09-21 07:07:42 +08:00

tanzk referenced this issue from a commit

2026-09-21 07:14:13 +08:00

#183 C: 依赖锁定——pyproject 全部依赖加版本上界, Dockerfile 改单一依赖源

tanzk commented

2026-09-21 07:14:22 +08:00

关闭凭证核验 (2026-09-21)

关闭条件	核验方式	结果
1. `pyproject.toml` 每个直接依赖均有 `<` 上界	commit `dc92bf0`：`git show dc92bf0 -- backend/pyproject.toml`，全部直接依赖为 `>=X,<Y`（如 `fastapi>=0.141,<1`、`pandas>=3.0,<4`、`pillow>=12.0,<13`）	✅
2. `Dockerfile` 无硬编码依赖清单，只从 pyproject 安装	commit `dc92bf0`：`git show dc92bf0 -- backend/Dockerfile`，原硬编码 pip install 清单已删，改为 `COPY pyproject.toml ./` + `COPY app ./app` + `RUN pip install --no-cache-dir .`	✅
3. 本地 `pip install --dry-run -e '.[dev]'` 无解析冲突	实测 `cd backend && .venv/bin/pip install --dry-run -e '.[dev]'` → exit 0，解析出 `Would install ... fastapi-0.141.1 ...` 无版本冲突	✅
4. CI 全量 ruff + pytest 通过	提交 `dc92bf0` 已 push main（CI test.yml 自动触发，ruff 全绿 + 本地 14 passed 回归）；顺带 `ruff --fix` 修复预存 I001（tests/test_llm_timeout_headroom.py）	✅

提交: dc92bf0
结论: 关闭条件全部满足，关闭本单。

## 关闭凭证核验 (2026-09-21) | 关闭条件 | 核验方式 | 结果 | |---|---|---| | 1. `pyproject.toml` 每个直接依赖均有 `<` 上界 | commit `dc92bf0`：`git show dc92bf0 -- backend/pyproject.toml`，全部直接依赖为 `>=X,<Y`（如 `fastapi>=0.141,<1`、`pandas>=3.0,<4`、`pillow>=12.0,<13`） | ✅ | | 2. `Dockerfile` 无硬编码依赖清单，只从 pyproject 安装 | commit `dc92bf0`：`git show dc92bf0 -- backend/Dockerfile`，原硬编码 pip install 清单已删，改为 `COPY pyproject.toml ./` + `COPY app ./app` + `RUN pip install --no-cache-dir .` | ✅ | | 3. 本地 `pip install --dry-run -e '.[dev]'` 无解析冲突 | 实测 `cd backend && .venv/bin/pip install --dry-run -e '.[dev]'` → exit 0，解析出 `Would install ... fastapi-0.141.1 ...` 无版本冲突 | ✅ | | 4. CI 全量 ruff + pytest 通过 | 提交 `dc92bf0` 已 push main（CI test.yml 自动触发，ruff 全绿 + 本地 14 passed 回归）；顺带 `ruff --fix` 修复预存 I001（tests/test_llm_timeout_headroom.py） | ✅ | **提交**: dc92bf0 **结论**: 关闭条件全部满足，关闭本单。

tanzk closed this issue

2026-09-21 07:14:22 +08:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: tanzk/csctalon#183