今日三荐：依赖锁文件、软件成分清单与任务配方

1. uv：把一堆版本要求解成一份锁文件

为什么今天看

最值得拆的机制

• 求解在理论上等价于 SAT，瓶颈却落在元数据上。 最坏情况要试遍所有组合，而 uv 文档写下的实测结论是：最慢的一步是加载包与版本的元数据，即使已经缓存。3
• 每一步决定都能讲清。 uv 用 PubGrub：从还没决定的包里挑优先级最高的那个，带 URL（本地文件、git）的最先，其次是 == 这种精确约束，再次是宽约束；同一档内按第一次出现的顺序挑，同样的输入就会解出同样的结果。3
• 冲突会变成一条互斥记录。 当 a 2 要 c 1、b 2 要 c 2 时，求解器记下「a 2 与 b 2 互相排斥」，退回上一步给 b 换一个版本再试。3
• 平台标记会让解析分叉。 numpy>=2,<3 ; python_version >= "3.11" 和 numpy>=1.16,<2 ; python_version < "3.11" 可以同时成立，一个包只允许装一个版本，于是一份解被拆成两支分别求解。3
• 分叉结果必须落到锁文件里。 偏好会影响分叉发生的位置，resolution-markers 把每支的环境记下来，下次解析沿用同一批分叉，结果才稳定。3
• 一份锁文件覆盖所有平台。 文档的原话是 portable across platforms：不同操作系统、架构、Python 版本共用同一个 uv.lock，靠 marker 决定装哪个版本。4

version = 1
revision = 3
requires-python = ">=3.12"
resolution-markers = [
    "python_full_version >= '3.14' and sys_platform == 'win32'",
    "python_full_version >= '3.14' and sys_platform == 'emscripten'",
    "python_full_version >= '3.14' and sys_platform != 'emscripten' and sys_platform != 'win32'",
    "python_full_version < '3.14' and sys_platform == 'win32'",
    "python_full_version < '3.14' and sys_platform == 'emscripten'",
    "python_full_version < '3.14' and sys_platform != 'emscripten' and sys_platform != 'win32'",
]

复现难度：低

最小上手路径

curl -LO https://github.com/astral-sh/uv/releases/download/0.13.2/uv-x86_64-unknown-linux-gnu.tar.gz
tar xzf uv-x86_64-unknown-linux-gnu.tar.gz
./uv-x86_64-unknown-linux-gnu/uv init --python 3.12 demo
cd demo
./uv-x86_64-unknown-linux-gnu/uv add pandas httpx

Resolved 13 packages in 3ms
Installed 12 packages in 28ms
 + anyio==4.15.1
 + httpcore==1.0.9
 + httpx==0.28.1
 + numpy==2.5.4
 + pandas==3.0.6
 ...

今晚练习

1. 数一遍锁文件的分区。 打开 uv.lock 顶部的 resolution-markers，对照自己项目支持的 Python 版本，看有哪几块是这台机器永远用不到的。
2. 读一次真正的冲突解释。 在一份 requirements.in 里写 httpx==0.28.1 和 httpcore==0.16.3，然后 uv pip compile requirements.in：

   error: No solution found when resolving dependencies
     cause: Because httpx==0.28.1 depends on httpcore==1.* and you require httpx==0.28.1, we can conclude that you require httpcore==1.*.
            And because you require httpcore==0.16.3, we can conclude that your requirements are unsatisfiable.

版本动作与限制

• 装 0.13.2，许可 Apache-2.0。5
• 私有源地址里带着 token 的话，这一版值得换上去：凭据泄漏的修复涉及的正是诊断信息与写下的元数据。1
• 升级后如果发现某个包莫名换了版本，先看 --exclude-newer 的修复：旧的行为在某些缓存状态下会选出一个本该被排除的版本。1
• 锁文件里的偏好会压住你的新约束。往 pyproject.toml 里加一条更严的要求，只要旧版本仍然满足，uv lock 就会保留旧版本；要换版本得显式加 --upgrade 或 --upgrade-package。4
• 通用解析的代价：只发 wheel、没有源码包的依赖（PyTorch 这一类）在缺平台的版本上会让整次解析失败，需要 required-environments 收窄要支持的环境。4

2. syft：把目录里的东西认成一份清单

为什么今天看

最值得拆的机制

• 它只读磁盘上留下的证据。 cataloger 按证据类型分工：读 *.dist-info/METADATA 的、读 uv.lock 的、读 go.mod 的、读 apk 与 dpkg 数据库的，每种认一类痕迹。8
• 同一个包可以被认两次。 本机扫上面那个 uv 项目，syft 输出 25 条记录，去重后只有 13 个包名：每个包都被 python-installed-package-cataloger 从已安装的 .dist-info/METADATA 认了一次，又被 python-package-cataloger 从 uv.lock 认了一次。
• 身份用 PURL 表达。 一条记录长这样：pkg:pypi/pandas@3.0.6，来源写作 foundBy，位置写作 locations，里面同时列着 METADATA 与 RECORD 两个文件。
• 同一份扫描结果能写成两种行业标准。 SPDX（ISO/IEC 5962:2021）与 CycloneDX（OWASP 维护）都能直接写，还能指定格式版本，比如 -o cyclonedx-json@1.6。9
• 默认离线。 只有扫容器镜像才需要联网，--enrich 打开后才会从线上补信息。10

复现难度：低

最小上手路径

curl -LO https://github.com/anchore/syft/releases/download/v1.55.0/syft_1.55.0_linux_amd64.tar.gz
tar xzf syft_1.55.0_linux_amd64.tar.gz syft
./syft version

Application:   syft
Version:       1.55.0
BuildDate:     2026-10-19T18:54:46Z
GoVersion:     go1.26.8
SchemaVersion: 16.1.11

NAME               VERSION      TYPE
anyio              4.15.1       python
certifi            2026.10.18   python
demo               0.1.0        python
h11                0.16.0       python
httpcore           1.0.9        python
httpx              0.28.1       python
idna               3.20         python
numpy              2.5.4        python
pandas             3.0.6        python
python-dateutil    2.9.0.post0  python
six                1.17.0       python
typing-extensions  4.16.0       python
tzdata             2026.5       python

./syft dir:demo -o spdx-json=spdx.json -o cyclonedx-json=cdx.json

今晚练习

1. 数 foundBy。 ./syft dir:demo -o json | jq -r '.artifacts[] | "\(.name) <- \(.foundBy)"' | sort，对照行数（25）与包名数（13），看清哪些包是被两条证据同时认出来的。
2. 扫一个二进制。 ./syft file:./syft 在本机列出 296 个 go-module，从 cel.dev/expr v0.25.2 到 github.com/... 一应俱全。证据是编译进二进制的 Go 构建信息，整个过程没有运行这个二进制。
3. 扫一个没有留下证据的二进制。 同一台机器上，./syft file:./just 只输出一行 No packages discovered。Rust 二进制要被认出来，构建时得带上 cargo-auditable 那类信息，否则它是看不见的。
4. 扫一个压缩包。 ./syft file:just-1.59.0-x86_64-unknown-linux-musl.tar.gz 能列出整排 rust-crate，来源是包里自带的 Cargo.lock。
5. 只导出 PURL。 ./syft dir:demo -o purls 每行一个 pkg:pypi/...，方便直接喂给漏洞扫描器。9

版本动作与限制

• 装 v1.55.0，许可 Apache-2.0。8
• 在 CI 里用它出 SBOM 的话，这一版值得跟：5 个已修漏洞都在 golang.org/x/net，其中一个按发布说明标为 Critical。6
• 清单的完整度取决于构建方式。本机那两个二进制，一个 296 条，一个 0 条；静态链接进去的库、运行时才加载的东西，都可能不在清单里。
• 扫镜像默认只看最终镜像里剩下的内容，要把所有层都算上得加 --scope all-layers。10

3. just：把命令连同「什么时候可以跳过」写成配方

为什么今天看

最值得拆的机制

• 依赖是一张有向图。 写在冒号后面的配方先跑，同一次调用里，同名同参数的配方只执行一次。13
• 错误尽量在动手之前算出来。 循环依赖会在任何配方执行之前报出，本机写一对互相依赖的 a 与 b，得到 error: recipe 'b' has circular dependency 'a -> b -> a'，还带着出错的行号。14
• 默认每次都真的跑。 just build 连跑两次，两次都重新编译；同一份 Makefile 第二次会打印「已是最新」。14
• 要跳过就用 [cache] 明确声明。 加上这个属性的脚本配方会按缓存键跳过，键是 BLAKE3 哈希，存在 justfile 旁边的 .justcache/ 里。14
• 缓存键由九个字段拼成。 body、environment、executor、extension、extra、inputs、positional、recipe、working_directory；除了 extra 与 inputs，其余自动填。14
• 官方把这套机制称作脆弱。 时间、系统里装了什么、网络上有什么，都不在键里；跳过是否安全，由写 justfile 的人负责。14

复现难度：低

最小上手路径

set shell := ["bash", "-uc"]

target := "out"

# 编译出可执行文件
build:
    mkdir -p {{target}}
    cc main.c -o {{target}}/app

# 跑一遍程序
run: build
    ./{{target}}/app

# 只做检查，不产出
lint:
    @echo "lint ok"

$ just --list
Available recipes:
    build # 编译出可执行文件
    lint  # 只做检查，不产出
    run   # 跑一遍程序

$ just --dry-run run
mkdir -p out
cc main.c -o out/app
./out/app

$ just --evaluate
target := "out"

今晚练习

1. 对比一次重复执行。 先跑两遍 just build，每遍都会重新编译；再写一份等价的 Makefile 跑两遍，第二次只输出「已是最新」。时间戳判断和每次都跑，差别亲手看得见。14
2. 制造一个循环依赖。 在 justfile 里写 a: b 和 b: a，运行 just a，报错在建任何东西之前就出现了。14
3. 打开缓存，看它命中。 加 set unstable、[script]、[cache(inputs = "main.c", outputs = "out/app")] 三个开关，第一次运行编译并打印 compiled，第二次什么都不打印；改一行 main.c 再跑，又编译一次。加 -vv 能看到 cache hit, skipping invocation，.justcache/ 里留下两个以 BLAKE3 哈希命名的 .json。14
4. 验一次 shebang 配方。 以 #!/usr/bin/env python3 开头的配方会被写成临时文件、加上执行权限再执行。15 本机的默认临时目录不可执行，于是报 execution error: Permission denied (os error 13)；用 --tempdir 指到可执行目录后正常输出 size: 15952 bytes。
5. 只清一份缓存。 just --clean build 删掉这个配方的缓存条目；本机跑完打印 removed 2 cache entries，其他配方的缓存留着。14

版本动作与限制

• 装 1.59.0，许可 CC0-1.0，等于放弃著作权、放进公共领域。16
• 升级要注意那条破坏性变更：路径不是合法 Unicode 时，这一版会直接拒绝。11
• [cache] 仍是实验特性，要 set unstable 才生效，官方也明说它本身就脆弱。14
• 它只负责跑命令，构建产物的依赖关系、目标文件的新旧判断，都得自己写进 [cache] 的 inputs 与 outputs。

怎么选今晚的第一条路径