依赖与供应链

五问模板（贴进合并请求说明）

它是「填完才能提交」的检查表，不是问卷。空着的一栏等于没查。

## 新增依赖：fastcache-lite==0.4.2

1. 仓库里有没有同类库？
   - 搜索：grep -rn "cache" pyproject.toml requirements*.txt app/
   - 结论：无同类（仓库内仅用 functools.lru_cache，无持久化缓存）
2. 许可是什么？
   - 许可类型：MIT（包内 LICENSE 文件）
   - 与项目许可（MIT）是否冲突：否
3. 维护状态如何？
   - 最近一次发布：近 6 个月内
   - 是否单人维护：否
   - 停更是否超过 12 个月：否
4. 体积与传递依赖可接受吗？
   - 新增传递依赖：0 个（pipdeptree 查看）
   - 结论：可接受
5. 出问题怎么移除？
   - 引用范围：只在 app/clients/cache.py
   - 替换成本：改动 1 个文件，接口只有 get/set/delete

助手交出来的样子

## 新增依赖：fastcache-lite==0.4.2
1. 仓库里有没有同类库？  无（助手说这个库很常用）
2. 许可是什么？          MIT（助手说）
3. 维护状态如何？        近期有发布（助手说）
4. 传递依赖可接受吗？    0 个（助手说）
5. 出问题怎么移除？      改动 1 个文件（助手说）

requirements.in（人写，只有直接依赖）

不写版本上限，只在出现不兼容时加约束。

flask
httpx
pytest

requirements.lock（工具生成，带哈希）

由 pip-compile 生成，含所有传递依赖与哈希。不要手工编辑它；要改就重新生成整份。

# 由 pip-compile --generate-hashes 生成，不要手工编辑
flask==3.0.3 --hash=sha256:...
httpx==0.27.0 --hash=sha256:...
pytest==8.3.2 --hash=sha256:...
# 传递依赖（节选）
click==8.1.7 --hash=sha256:...
certifi==2024.8.30 --hash=sha256:...

docs/licenses.md（许可清单）

它一次性回答「我们用了哪些许可」。由工具生成，不用手写。

# 依赖许可清单（由 pip-licenses 生成）

| 包 | 版本 | 许可 | 用途 |
|---|---|---|---|
| flask | 3.0.3 | BSD-3-Clause | Web 框架 |
| httpx | 0.27.0 | BSD-3-Clause | 调用外部模型服务 |
| pytest | 8.3.2 | MIT | 测试，不进入运行环境 |

锁定与审计（可直接复制）

第一次要装两个工具。之后每次改依赖，只跑第二到第五条。

# 1. 装工具
pip install pip-tools pip-audit pipdeptree

# 2. 生成带哈希的锁文件（改动它等于改动依赖，要单独评审）
pip-compile --generate-hashes requirements.in -o requirements.lock

# 3. 按锁文件安装
pip install -r requirements.lock

# 4. 查已知漏洞（退出码非零即失败）
pip-audit -r requirements.lock

# 5. 查传递依赖与许可
pipdeptree --warn silence
pip-licenses --format=markdown --with-urls > docs/licenses.md

# 6. 看这次改动动了哪些依赖（评审用）
git diff origin/main -- requirements.lock docs/licenses.md