技能介绍

解决什么问题

Python 项目的依赖很少孤立存在。一个顶层包会引入多个间接依赖，这些传递依赖可能使用不兼容的版本范围，导致 pip 解析结果与预期不同、构建在本地通过但部署失败、CI 与生产环境不一致。传统 pip freeze 只能看到扁平列表，看不出哪个包引用了哪个包；人工追查 requires、requirements 和锁文件也容易遗漏分支。

技能如何工作

该技能把依赖关系当作图而不是清单来处理：以 Python 包为目标，结合 PyPI JSON API 获取包元数据中的依赖声明，再利用 pipdeptree 将当前环境中已安装包解析成树形关系。核心步骤包括：

解析目标包的直接依赖与版本约束；
沿传递依赖逐层展开，形成有向依赖链；
合并重复包路径，标注不同包引用同一依赖的位置；
比较版本约束与当前解析结果，提示可能发生冲突的节点；
输出可读的依赖图或树，便于定位风险来源。

适用边界与注意点

它更适合静态与半静态的依赖分析：如果项目使用动态版本、私有源、本地路径安装、命名空间包或生成式依赖，结果可能不够完整。pipdeptree 反映的是当前解释器环境下已解析后的安装结果，而 PyPI JSON API 更接近上游声明；两者结合能降低误判，但不能替代 pip check、锁文件和真实 CI 构建。版本冲突提示只是风险线索，最终仍需在目标环境中验证。