Нужно ли проверять файлы Стихотворение?

Question

Я использую файл poetry.lock в качестве источника правды в моей цепочке сборки, поэтому я хотел бы быть уверен, что он всегда надежен. Или, другими словами, учитывая, что ни одна из моих зависимостей не выпустила новые версии, будет ли добавление и удаление зависимостей накапливать ненужные артефакты в файле блокировки?

В частности, после удаления зависимостей я иногда удалял файл блокировки и заново генерировал его с poetry lock в качестве меры предосторожности, но заметил, что результат всегда был идентичен тому, который я только что удалил. Было ли это случайно или это гарантированное поведение?

Answer 1

Это не гарантированное поведение. Например, в одном из наших проектов у нас есть pyproject.toml:

[tool.poetry.dependencies]
django-storages = {version = "1.7.1",extras = ["boto3"]}

Когда я запускаю poetry lock в этом проекте прямо сейчас, результирующий diff выглядит следующим образом, потому что мы только указываем, какую версию django-storages мы хотим, но не какую версию boto3 она должна использовать:

diff --git a/poetry.lock b/poetry.lock
index 6d542df..0ec8d23 100644
--- a/poetry.lock
+++ b/poetry.lock
@@ -77,10 +77,10 @@ marker = "extra == \"boto3\""
 name = "boto3"
 optional = false
 python-versions = "*"
-version = "1.9.189"
+version = "1.9.191"

 [package.dependencies]
-botocore = ">=1.12.189,<1.13.0"
+botocore = ">=1.12.191,<1.13.0"
 jmespath = ">=0.7.1,<1.0.0"
 s3transfer = ">=0.2.0,<0.3.0"

@@ -91,7 +91,7 @@ marker = "extra == \"boto3\""
 name = "botocore"
 optional = false
 python-versions = "*"
-version = "1.12.189"
+version = "1.12.191"

 [package.dependencies]
 docutils = ">=0.10"
@@ -359,8 +359,8 @@ category = "main"
 description = "Docutils -- Python Documentation Utilities"
 name = "docutils"
 optional = false
-python-versions = "*"
-version = "0.14"
+python-versions = ">=2.6, !=3.0.*, !=3.1.*, !=3.2.*"
+version = "0.15.1"

 [[package]]
 category = "main"

Все, что не указано в pyproject.toml, будет обновлено при запуске poetry lock.