依赖关系搞死人啊

[julyclyde]

昨天有一段代码，自己机器上正常，放到线上就挂了
OAuth1 client的程序，用requests-oauthlib依赖oauthlib

我自己机器上oauthlib==0.7.2 以前装的旧版本；线上服务器pip下载1.0.0
结果发现其中signature.py内容改了，算法用pyjwt库实现，但oauthlib本身不强制依赖pyjwt，而是oauthlib[signedtoken]才依赖pyjwt，坑死人

然后，装吧，又发现pyjwt依赖的cffi现场编译需要libffi-dev库。真是……最后定稿是给线上也用旧的oauthlib==0.7.2

转到新岗位才7个工作日就搞出19分钟大事故。唉～

[realpg]

我不是搞python的，对你说的问题细节不太清楚

我只有一个问题

为啥你们公司允许开发环境使用跟生产服务器不一样的版本的东西？

[clino]

没有一个和生产环境一致的测试环境先试试看？

[mhycy]

别的不说，改线上环境居然能造成19分钟停机，入口负载均衡怎么做的，没备机做平滑升级？

[nellace]

19分钟就是大事故了，肯定是个大厂啊

[neoblackcap]

我只是好奇，为什么你们生产环境可以连开发环境的版本号都对不上

[learnshare]

必须保证开发和运行环境统一，还得随手把第三方包升级了

[ChangxuBlack]

或许可以试试用setuptools管理依赖

[glasslion]

开发环境和生产环境的版本号都能搞得不一样, 出大事故不是早晚的事.

而且当你们发现了版本号不一致的问题后, 为什么不第一时间回退到 0.7.2 这个老的可行版本, 反而去尝试去安装 1.0 这个你们从来没有使用和测试过的版本.

[yueyoum]

新人都这样， 遇到问题 不要慌

先去问老员工。


当年 我去线上 重启服务， 没看清， 把其他服务给重启了， 而且重启还失败了。。。

[julyclyde]

@glasslion 请你注意先后顺序。我是回滚了代码之后才检查到0.7.2和1.0.0的问题的

[laoyuan]

怪不得 Rails Gemfile 里面的gem 后面都跟着版本号，我初学觉得好麻烦啊

[est]

@laoyuan pip也可以，只是很多人懒得这么干而已。其实现在pip都支持打包成静态包了。

[julyclyde]

@mhycy 访问到我改的那个位置的时候才出错，错误信息是无法import jwt库，当时没理解为什么还有jwt。我还以为是别人的bug就没当场回滚。有部署权限的人太多也是个麻烦事啊

[julyclyde]

@ChangxuBlack pip就是setuptools的包装吧。给点儿建设性的意见

[julyclyde]

@glasslion 现在线上用旧版本，已经积习难改了。我怀疑将来requirements内部会有版本冲突

[julyclyde]

@learnshare 我这就是随手升级了才坏事的。

[poorguy]

我就弱弱的问一下，没用virtualenv之类的吗

[julyclyde]

@poorguy 有。但这和virtualenv有啥关系？

[tabris17]

为了避免麻烦，我把第三方库的代码复制出来和代码放一起打包了

[ChangxuBlack]

@julyclyde 你可以写个setup.py，里面写上依赖啊，然后部署的时候用python setup.py install