Как обеспечить воспроизводимые и безопасные сборки зависимостей?
Пингуйте всё до патча и транзитивы (pip-compile --generate-hashes/poetry.lock), устанавливайте с проверкой хэшей (pip install --require-hashes), собирайте колёса в изоляте (PEP 517) и кэшируйте их, используйте constraints для кросс-платформы, частный индекс/зеркало, в CI ставьте --no-deps по lock-файлу и прогоняйте pip-audit.
Библиотека собеса по Python
Библиотека собеса по Python