技能介绍

解决什么问题

Python 项目一旦依赖超过十几个，手动维护 requirements.txt 就变成一份随时可能失效的清单：版本写死会被上游安全更新卡住，只写范围又可能在 CI 里随机解出互不兼容的组合。更麻烦的是 python_requires、environment markers 这类约束分散在每个包的元数据里，靠人眼核对几乎不现实。

这个技能要解决三件事：

依赖求解：给定一组顶层需求，计算出彼此兼容的版本集合
版本锁定：把求解结果固化成一份可复现的锁定文件
兼容性检查：跨 Python 版本标记验证依赖是否成立

技能如何工作

数据源是 PyPI 官方仓库，所有包元数据都通过 PyPI JSON API 获取。核心流程分三步：

拉取元数据：获取每个候选包的版本列表、requires_dist、python_requires 等字段
执行解析：复用 pip 的依赖解析算法对约束求解，遇到版本冲突时进行回溯
生成锁定文件：将确定的版本集合写入 requirements.txt 形式的锁定文件，供 CI 或部署环境原样安装

跨版本场景下，技能使用 packaging 库对 version markers 做语义判断，确认依赖组合在目标 Python 版本上是否成立。

适用边界与注意点

仅限 PyPI 公共仓库：私有索引（如 Nexus、Artifactory 内网源）中的包无法通过该 API 获取，需先映射到公共包名
依赖上游元数据质量：解析准确性取决于包作者声明的元数据，requires_dist 缺失或错误会导致求解结果偏差
Trusted Publisher 相关内容：资料中附带的发布流程（为已有项目添加 Trusted Publisher、新建项目、发布）均指向 PyPI 官方文档，属于上游参考，并非技能自身能力