阿里云 pip 镜像接入后，团队依赖版本怎么锁定

装Python包时最烦的往往是卡在下载那一步。默认源在境外，网络一抖，装一个requests都可能等上几分钟。阿里云pip镜像就是为这个问题准备的。它把PyPI上的包同步到国内服务器，你从国内节点下载，速度通常快很多。

阿里云pip镜像能解决什么

pip默认从官方PyPI仓库下载依赖。镜像源定期同步PyPI上的包，下载走国内节点，连接更稳，超时和中断少了很多。装的依赖越多、包越大，这个差别越明显。

日常使用主要有三点好处。国内直连，减少跨境链路带来的超时。同步比较及时，常用包的版本一般能跟上上游。接入只需改一行配置，业务代码不用动。

镜像只是公共包的缓存加速，不会改变包本身的内容。公司内部的私有包不在PyPI上，仍然需要放到单独的制品仓库里管理。

临时指定与全局配置

如果只想在某一次安装里用镜像，给pip加上-i参数即可：

pip install -i https://mirrors.aliyun.com/pypi/simple/ requests

如果希望这台机器上的安装都默认走阿里云源，用全局配置更省事。pip 10.0及以上版本可以直接用命令写入：

pip config set global.index-url https://mirrors.aliyun.com/pypi/simple/
pip config set install.trusted-host mirrors.aliyun.com

配置会写入pip的配置文件。Linux和macOS一般在~/.config/pip/pip.conf，Windows在%APPDATA%\pip\pip.ini。文件内容大致如下：

[global]
index-url = https://mirrors.aliyun.com/pypi/simple/

[install]
trusted-host = mirrors.aliyun.com

trusted-host让pip信任该域名的HTTPS证书，证书校验出问题时不会因此装不上。它是放宽校验，只对列出的域名生效。不要随手把其他域名也加进去。想恢复官方源，删掉index-url那一行即可。

实战：CI构建提速

某团队的后端服务依赖约120个Python包。原来在GitHub Actions的海外运行器上安装依赖要六分钟左右，偶尔还因为下载超时让流水线失败。他们把安装步骤改为走阿里云镜像，依赖安装缩短到一分钟左右，网络原因导致的失败基本消失了。

- name: Install dependencies
  run: |
    pip install -i https://mirrors.aliyun.com/pypi/simple/ \
      --trusted-host mirrors.aliyun.com \
      -r requirements.txt

每次提交都要重新装一遍依赖的项目，收益最明显。省下的时间会在每次构建里累积起来。

实战：Docker构建中的分层缓存

构建Docker镜像时，pip这一步如果走境外源，每次构建都要重新下载大量依赖。在Dockerfile里指定镜像地址，同时把依赖文件单独拷贝进去，就能用上分层缓存：

FROM python:3.11-slim
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -i https://mirrors.aliyun.com/pypi/simple/ \
    --trusted-host mirrors.aliyun.com -r requirements.txt
COPY . .
CMD ["python", "main.py"]

只要requirements.txt没变，前两层都会命中缓存，不用每次重装。注意把COPY . .放在依赖安装之后。如果放在前面，改一行业务代码也会让依赖层失效。–no-cache-dir不保留pip的下载缓存，镜像体积会小一些。

版本怎么锁定

镜像解决的是速度问题。版本稳不稳定，要靠依赖文件本身来保证。镜像有同步时间差，同一份requirements.txt在不同时间安装，拿到的版本可能不一样。可以从三个层面处理：

• 写死版本号：在requirements.txt里写成requests==2.31.0这样的精确版本，不要只写requests。
• 锁住间接依赖：在干净的虚拟环境里装好依赖后执行pip freeze > requirements.txt，把间接依赖也固定下来。如果只想维护直接依赖，可以用pip-tools，把依赖写在requirements.in里，再由pip-compile生成完整的锁文件。
• 开启哈希校验：执行pip-compile --generate-hashes生成带哈希的文件，安装时加上–require-hashes。包内容和记录的哈希对不上，安装会直接失败，这样能挡住中间链路上被替换的包。

pip install -i https://mirrors.aliyun.com/pypi/simple/ \
  --trusted-host mirrors.aliyun.com \
  --require-hashes -r requirements.txt

锁文件要纳入版本管理。升级依赖时单独提一次提交，并在提交说明里写清楚哪些版本变了。出问题时可以直接回退到上一份锁文件。

使用中的几个坑

1. 全局配置影响所有项目：在多人共用的开发机上，全局配置会改变每个项目的安装来源。优先在虚拟环境里设置，或者只在个别命令上用-i参数。
2. 私有包要追加，不要替换：需要同时安装内部包时，用–extra-index-url追加私有源。直接替换主源，公共包就不再从镜像取了。
3. 镜像不能代替锁文件：版本号不写死，今天和下周装出来的环境可能不同，线上和本地的表现也就对不上。

团队规模变大以后

有合规要求或内部组件多的团队，光靠公共镜像不够。更稳妥的做法是搭建企业级制品仓库，统一代理缓存公共包，托管内部私有包，并配合权限控制和审计。阿里云的云效制品管理等产品可以承担这个角色。镜像解决速度，制品仓库解决依赖来源的管理，两者配合才适合长期使用。