Python: nuovo formato standard per i file di lock delle dipendenze

L'ecosistema del linguaggio Python compie ora un passo avanti importante verso l'uniformità nella gestione dei package. È stato infatti approvato ufficialmente il PEP 751 con cui viene introdotto un formato standard per i file di lock delle dipendenze. L'obiettivo del progetto appare chiaro, quello che si vuole ottenere è la garanzia di installazioni riproducibili delle applicazioni Python. Ciò per evitare la risoluzione "al volo" delle dipendenze e per migliorare i livelli di affidabilità e sicurezza.

Cosa prevede il PEP 751 di Python

Il nuovo formato si basa su TOML (Tom's Obvious, Minimal Language), un formato di file testuale per le procedure di configurazione facilmente leggibile. Si tratta di una soluzione collaudata e già ampiamente supportata da diversi strumenti e linguaggi di programmazione. Come precisato dagli sviluppatori core del linguaggio, l'approvazione del PEP 751 è da considerarsi definitiva e questo dovrebbe permette di procedere rapidamente verso l'adozione.

L'uniformità non sarà però immediata. Strumenti con funzionalità per la gestione delle dipendenze come Poetry, pip-tools e Pipenv utilizzano ciascuno un proprio formato proprietario di lock file. Questa frammentazione complica la vita sia ai creatori di tool che ai fornitori di servizi di hosting. Non a caso tale criticità era stata identificata nel PEP 665, proposto nel 2021 ma poi respinto l'anno successivo, soprattutto per quanto riguarda il supporto ai package distribuiti come sdist.

Un nuova spinta verso la standardizzazione

Il nuovo PEP 751 cerca di risolvere quest'ultimo nodo, offrendo un'opzione per includere o escludere l'uso degli sdist in modo da presentarsi come un'alternativa più flessibile. Un'importante revisione del PEP a inizio 2025 ha riacceso il dibattito a riguardo e spinto anche team come quelli di Poetry e PDM a valutare il supporto per il nuovo formato.

Tutti i principali strumenti di packaging prevedono ora di implementarlo come opzione di esportazione ma non necessariamente come formato principale. La strada verso una standardizzazione completa potrebbe essere quindi ancora molto lunga.