技能介绍

它解决什么问题

Python 项目的依赖关系很少是线性的。pip freeze 只输出一个扁平的包列表，你能看到装了什么，却看不到谁依赖谁。当项目依赖十几个包、再叠加各自的传递依赖之后，一旦出现版本冲突、循环依赖，或者某个深层传递依赖存在已知漏洞，靠肉眼在几百行列表里排查几乎是不可能的。这个技能就是为这类问题准备的：把当前 Python 环境中的包依赖关系解析出来，构建成一棵可以遍历的树。

核心能力与工作方式

技能组合了三个信息来源：pip 提供已安装包清单，pipdeptree 负责把包与包之间的依赖关系渲染成树状结构，PyPI JSON API 则补充包的元数据。整体流程大致是：

依赖关系解析：从当前 Python 环境中提取每个已安装包的依赖声明，构建有向依赖图；
树状可视化：用 pipdeptree 将依赖图按层级输出，直接看出谁依赖谁、哪一层出了问题；
版本冲突检测：识别同一个包被不同父依赖要求多个版本的情形；
循环依赖检测：找出 A 依赖 B、B 又依赖 A 这类互相引用的结构；
漏洞传递依赖检测：结合 PyPI 上的安全信息，标出那些你没直接安装、却被传递拉进来的含漏洞包。

典型用法是在目标环境中直接运行 pipdeptree，拿到一棵完整的依赖树，然后沿着树逐层排查。

适用边界与注意点

这套方案的前提是目标环境里已经有 Python 和 pip，并且需要预先装好 pipdeptree。解析结果反映的是当前环境的实际安装状态，而不是项目声明文件中理论上应有的依赖——如果虚拟环境没有最新同步，解析结果就会失真。另外，传递依赖漏洞的判定依赖 PyPI JSON API 返回的数据，离线或无法访问 PyPI 时这部分能力会受限。对于极大规模的环境，完整树的输出可能很长，建议配合过滤和搜索使用，而不是从头扫到尾。