आप कैसे तय करते हैं कि क्या pin करना है और dependencies को मौजूदा कैसे रखते हैं?

lock file में ठीक ठीक pin करें, और pyproject में घोषित ranges अपेक्षाकृत ढीली रखें। इससे installs दोहराने लायक रहते हैं और अपग्रेड के दरवाजे भी बंद नहीं होते। अपडेट के लिए ऐसा bot लगाएं जो छोटे छोटे pull requests खोले, सुरक्षित हैं या नहीं यह CI तय करे, और security advisories को अलग तेज ट्रैक दें, अगले बैच का इंतजार न कराएं।

दो अलग काम हैं, तो दो अलग जवाब। lock file ठीक ठीक वर्जन और hashes pin करती है, और CI तथा प्रोडक्शन उसी से install करते हैं, तो builds दोहराने लायक रहते हैं और कल की हरी pipeline का मतलब निकलता है। pyproject में घोषित constraints ढीले रहते हैं, आम तौर पर एक निचली सीमा और अगले major पर ऊपरी सीमा, ताकि अपग्रेड बिना हर लाइन बदले हो सकें। मौजूदा रखना ज्यादा मुश्किल आधा है। हम एक bot चलाते हैं जो हफ्तेवार हर dependency के लिए एक pull request खोलता है, और चूंकि वे छोटे हैं और suite ठीक ठाक है, ज्यादातर बिना किसी के ज्यादा सोचे हरे पर merge हो जाते हैं। Major वर्जन की छलांगें ढंग से पढ़ी जाती हैं। Security advisories इस लय को पूरी तरह लांघ जाती हैं, और pip-audit CI में चलता है ताकि कोई ज्ञात कमजोर transitive dependency build को फेल करे, न कि चुपचाप पड़ी रहे। जो फेल्योर मैंने खुद झेली है वह उलटी थी, दो साल से जमी हुई एक सर्विस, फिर एक गंभीर Django advisory ने एक ही वीकेंड में चार major वर्जन चढ़वा दिए।