Python项目的依赖管理

之前一直比较抵触用 Python ，很大一部分原因是觉得 Python 项目的环境管理比较混乱。Node.js 有 Npm 包管理工具，通过 package.json 配置项目依赖，最多再通过 nvm 来进行环境切换；Java 有 Maven Gradle 来进行包管理和项目依赖配置，并体现在 pom.xml 和 build.gradle 等中。而 Python 相比编程语言有时更体现了脚本语言的特性，系统化和标准化程度都不太高。很多 Python 项目上来就是怼代码，没有声明依赖、配置环境的文件。这样的好处是简单项目堆砌起来非常快，但是一旦代码量上了规模，依赖管理、环境配置、项目启动等就到处都是坑。

可是稍微了解了一下后发现其实 Python 不止能当脚本语言来用。基于一定的工具链，Python 也能写出漂亮标准的项目代码、将环境和依赖管理的明明白白。

# 基于PIP

最基础的依赖管理应当能解决如下问题：

1. 能快速配置好项目依赖，搭建好开发环境。

2. 明确知道当前项目依赖了哪些第三方的包，以及他们的依赖树。

3. 能快速添加和移除给定的依赖，进行依赖调解。

这些功能使用 Pip 工具链其实是能很方便做到的。

 快速配置环境（pip）

想简单预览当前环境下的依赖包可以直接用 pip list 命令：

$ pip list
Package    Version
---------- -------------------
certifi    2020.6.20
pip        19.3.1
setuptools 44.0.0.post20200106
wheel      0.36.2

对于一个空的 Python 环境，基础一般只会有这四个包。我们这样就知道了当前环境中有哪些包，以及他们的版本。

为了方便说明，我们先多引一些依赖 pip install flask 。

$ pip list
Package      Version
------------ -------------------
cerTIfi      2020.6.20
click        7.1.2
Flask        1.1.2
itsdangerous 1.1.0
Jinja2       2.11.3
MarkupSafe   1.1.1
pip          19.3.1
setuptools   44.0.0.post20200106
Werkzeug     1.0.1
wheel        0.36.2

安装了 Flask 之后，我们发现除了 Flask 他还多引入了好多个间接依赖。

如果想要将这个信息记录下来，我们可以用 pip freeze 命令，记在 requirements.txt 中（一个约定俗成的名字）。

$ pip freeze > requirements.txt
$ cat requirements.txt
cerTIfi==2020.6.20
click==7.1.2
Flask==1.1.2
itsdangerous==1.1.0
Jinja2==2.11.3
MarkupSafe==1.1.1
Werkzeug==1.0.1

好了，记下这个文件，以后我们如果需要在一个新的 Python 环境中引入当前的依赖，只需要使用 pip install -r requirements.txt 即可。

 明确项目依赖（pipdeptree）

pip list 或 pip freeze 打印出来的依赖有一个问题，就是并没有明确依赖关系。这样的坏处是，当我们想清理依赖的时候，就不知道到底哪些依赖是能被直接删除的、哪些依赖又是被间接依赖而不能轻易删除的。

例如我们可能在项目中用了 Flask ，但是我们可能不知道 Flask 也引用了 Jinja2 。这是我们如果擅自删除了 Jinja2 ，项目就可能跑不起来。。。

这时就可以使用 pipdeptree 工具来管理依赖树：

$ pip install pipdeptree
...
$ pipdeptree
certifi==2020.6.20
Flask==1.1.2
  - click [required: >=5.1, installed: 7.1.2]
  - itsdangerous [required: >=0.24, installed: 1.1.0]
  - Jinja2 [required: >=2.10.1, installed: 2.11.3]
    - MarkupSafe [required: >=0.23, installed: 1.1.1]
  - Werkzeug [required: >=0.15, installed: 1.0.1]
pipdeptree==2.0.0
  - pip [required: >=6.0.0, installed: 19.3.1]
setuptools==44.0.0.post20200106
wheel==0.36.2

现在我们就知道了，原来 Jinja2 是被 Flask 依赖的，这样我们就不会随便删除了。。。

 项目依赖治理（pip-autoremove）

那么问题来了，如果我忽然不想依赖 Flask 了，我们需要怎么做呢？

无脑的做法是 pip uninstall flask -y 。不那么显然的是，这其实不够优雅：

$ pip uninstall flask -y
...
$ pipdeptree
certifi==2020.6.20
click==7.1.2
itsdangerous==1.1.0
Jinja2==2.11.3
  - MarkupSafe [required: >=0.23, installed: 1.1.1]
pipdeptree==2.0.0
  - pip [required: >=6.0.0, installed: 19.3.1]
setuptools==44.0.0.post20200106
Werkzeug==1.0.1
wheel==0.36.2

发现没，Flask 虽然被卸载了，但是他的依赖包并没有卸载干净。你可能需要重新一个一个判断你是否需要剩下的包，然后再递归删除。。。

幸运的是，我们就可以用 pip-autoremove 工具来做这件事。我们重新安装Flask，再用这个工具删除试试：

$ pip install flask
$ pip install pip-autoremove
$ pip-autoremove flask -y
$ pipdeptree
certifi==2020.6.20
pip-autoremove==0.9.1
pipdeptree==2.0.0
  - pip [required: >=6.0.0, installed: 19.3.1]
setuptools==44.0.0.post20200106
wheel==0.36.2

这下干净了。

# 基于Conda

pip 能基本解决单一项目的环境处理问题。但是由于 Python 是全局环境，如果有多个项目，我们就无法区分项目维度的依赖。解决这个问题一般有两个思路，一个是像 Node.js 一样用 package.json 配置文件支持项目维度的环境隔离，另一个就是走 rvm、nvm的思路用虚拟环境隔离。目前看 Python 只能支持后者，也就是用基于 Conda 的虚拟环境。

值得一提的是，conda 虽然为Python 而生，但他其实是一个通用的虚拟环境工具。他的官网写的很清楚：

Package, dependency and environment management for any language---Python, R, Ruby, Lua, Scala, Java, JavaScript, C/ C++, FORTRAN

Conda is an open-source package management system and environment management system that runs on Windows, macOS, and Linux. Conda quickly installs, runs, and updates packages and their dependencies. Conda easily creates, saves, loads, and switches between environments on your local computer. It was created for Python programs but it can package and distribute software for any language.

很强大，有多强大，可以将不同语言的依赖环境整合在一起的强大。

 安装

Conda 官网给了两个发行版本，一个是 Anaconda ，一个是 Miniconda。Anaconda 相比 Miniconda 主要是多预装了很多科学计算的库，而我更喜欢按需使用不喜欢全家桶，所以我选 Miniconda。

官网下载miniconda3，并执行安装脚本。

安装后会发现 .bashrc 下多了几行：

# >>> conda iniTIalize >>>
# !! Contents within this block are managed by 'conda init' !!
__conda_setup="$('/home/zhenping/miniconda3/bin/conda' 'shell.bash' 'hook' 2> /dev/null)"
if [ $? -eq 0 ]; then
    eval "$__conda_setup"
else
    if [ -f "/home/zhenping/miniconda3/etc/profile.d/conda.sh" ]; then
        . "/home/zhenping/miniconda3/etc/profile.d/conda.sh"
    else
        export PATH="/home/zhenping/miniconda3/bin:$PATH"
    fi
fi
unset __conda_setup
# <<< conda iniTIalize <<<

重新登录，或着手动执行 source ~/.bashrc ，以加载conda命令。

现在就会发现提示符前多了默认环境 (base)，表示当前启用了默认环境 base 。

如果不想在会话启动时就开启conda环境，就执行 conda config --set auto_activate_base false 。

 环境 *** 作

创建一个纯净的 Python2.7 环境，名字姑且叫 frida ，并激活该环境。

$ conda create -n frida python=2.7 -y
...
$ conda activate frida

需要注意的是，创建环境之后，一定要 activate 该环境，否则后续的 install *** 作还是在 base 环境。。。

查看已有环境列表：

(frida) $ conda env list
# conda environments:
#
base                     /home/myths/miniconda3
frida                 *  /home/myths/miniconda3/envs/frida

查看当前环境下的依赖：

(frida) $ conda list
# packages in environment at /home/myths/miniconda3/envs/frida:
#
# Name                    Version                   Build  Channel
_libgcc_mutex             0.1                        main
ca-certificates           2021.4.13            h06a4308_1
certifi                   2020.6.20          pyhd3eb1b0_3
libffi                    3.3                  he6710b0_2
libgcc-ng                 9.1.0                hdf63c60_0
libstdcxx-ng              9.1.0                hdf63c60_0
ncurses                   6.2                  he6710b0_1
pip                       19.3.1                   py27_0
python                    2.7.18               h15b4118_1
readline                  8.1                  h27cfd23_0
setuptools                44.0.0                   py27_0
sqlite                    3.35.4               hdfb4753_0
tk                        8.6.10               hbc83047_0
wheel                     0.36.2             pyhd3eb1b0_0
zlib                      1.2.11               h7b6447c_3

我们发现，与 pip list 只展示 Python 包不同，conda list 还展示了对其他语言项目代码的依赖。

退出环境：

(frida) $ conda deactivate

这里需要注意，conda 的环境是可以默认嵌套两层的，因此 deactivate 的时候要看清楚了，可能要 deactivate 两次才能真正退出 Conda 。

 依赖管理

Conda 也有和 pip freeze 类似的依赖管理方式：

为当前环境创建配置文件：

(frida) $ conda env export > environment.yaml
(frida) $ cat environment.yaml
name: frida
channels:
  - defaults
dependencies:
  - _libgcc_mutex=0.1=main
  - ca-certificates=2021.4.13=h06a4308_1
  - certifi=2020.6.20=pyhd3eb1b0_3
  - libffi=3.3=he6710b0_2
  - libgcc-ng=9.1.0=hdf63c60_0
  - libstdcxx-ng=9.1.0=hdf63c60_0
  - ncurses=6.2=he6710b0_1
  - pip=19.3.1=py27_0
  - python=2.7.18=h15b4118_1
  - readline=8.1=h27cfd23_0
  - setuptools=44.0.0=py27_0
  - sqlite=3.35.4=hdfb4753_0
  - tk=8.6.10=hbc83047_0
  - wheel=0.36.2=pyhd3eb1b0_0
  - zlib=1.2.11=h7b6447c_3
prefix: /home/myths/miniconda3/envs/frida

根据配置文件复现当前环境：

$ conda env create -f environment.yaml

 IDE集成

使用 conda 还有个很大的好处就是和 IDE 可以非常方便的集成。

# 一些思考

用Conda做其他语言的虚拟环境方便么？

现在看起来非常方便，几乎所有需要区分全局环境的地方都可以用。比如 Java 环境：

$ conda create -n java8
$ conda activate java8
$ conda install openjdk=8.0.152 -y
$ conda list
# packages in environment at /home/myths/miniconda3/envs/java8:
#
# Name                    Version                   Build  Channel
openjdk                   8.0.152              h7b6447c_3

同时，我们也可以在这个环境中集成 Node 环境，Python 环境，Ruby环境，甚至集成一些 curl、wget 等常用命令，非常方便。这对于一些跨语言、跨环境项目的环境搭建可是太有帮助了。。。

如何找conda支持的包呢？

可以直接用 conda search xxx 来搜索。不过这样可能不太全，我们也可以在 https://anaconda.org/search?q=openjdk 这里根据关键字搜索，当然也可以向这里贡献。

安装 Python 包是用 conda 好还是用 pip 好？

如果明确是纯粹的 python 包，还是建议用 pip install 安装，方便用 pip 统一管理。对于跨语言的、或者是本身就整合了各种依赖的环境（比如 tenserflow），再考虑用 conda install。

　　审核编辑：汤梓红