Pipenv依赖锁定需通过pipenv sync主动读取Pipfile.lock才生效；pipenv install默认只读Pipfile、更新锁文件再安装，不保证按锁文件版本安装。

Pipenv 的依赖锁定不是“生成一次就完事”，而是靠 pipenv sync 主动读取 Pipfile.lock 才真正生效；pipenv install 默认只看 Pipfile，不强制按锁文件装。

为什么 Pipfile.lock 生成了却没用上？

根本原因不是锁文件没生成，而是命令用错了。Pipenv 区分开发态和部署态：

• pipenv install：读 Pipfile，解析依赖，更新 Pipfile.lock（如有变更），再安装——适合本地加包、调版本
• pipenv sync：跳过解析，只读 Pipfile.lock，严格按其中记录的版本+哈希安装——这才是“重现”的唯一可靠方式

常见错误现象：pipenv install 后发现某依赖版本和锁文件里写的不一致，或 CI 上跑出不同行为。那大概率是没在 CI 中用 pipenv sync，或者本地改了 Pipfile 但没提交新锁文件。

pipenv sync 必须加 --dev 吗？

取决于你是否需要 dev 依赖（如 pytest、black）参与构建：

Bytesagain Ci Cd Pipeline

生成 GitHub Actions、GitLab CI、Jenkins 的 CI/CD 流水线配置，适用于 Node.js、Python、Go、Docker 项目，支持回滚等配置。

下载

立即学习“Python免费学习笔记（深入）”；

• 生产环境部署：通常 不加 --dev，避免把测试/格式化工具打进镜像
• CI 流水线执行单元测试：必须加 --dev，否则 pipenv sync 不会装 [dev-packages] 里的包
• 加了 --dev 前，要确保本地已运行过 pipenv install --dev 并提交了更新后的 Pipfile.lock，否则锁文件里压根没存 dev 包的哈希

漏掉这步，CI 会静默跳过 dev 包，导致 pytest 找不到、black --check 报错——但错误信息里不会提锁文件的事，容易误判为环境缺失。

锁文件失效的三个高发场景

这些情况会让 Pipfile.lock 形同虚设：

• 本地删了 Pipfile.lock，再运行 pipenv install：Pipenv 自动重建锁文件，但新解可能和原来不同（尤其当上游包发了补丁版）
• CI 中未校验锁文件是否最新：应加入 pipenv lock --keep-outdated，有差异则非零退出，阻断构建
• Python 版本声明写错位置：必须放在 [requires] 段的 python_version 字段，例如 python_version = "3.9"；写在别处或拼错字段名，Pipenv 创建虚拟环境时会忽略，导致解释器版本不一致

最隐蔽的问题是：锁文件里记录的哈希值只对特定平台有效（Windows/macOS/Linux 分别生成），跨平台协作时，别指望一个 Pipfile.lock 在所有机器上都通过校验。