В прошлой части:

Зачем нужны версии? Нуууу, наверное, чтобы отмечать разные варианты кода.
Зачем ПМ нужны версии? Хм, чтобы быть уверенным, что при установке пакета, зависимости будут именно такие, которые были при написании кода.

Ну, то есть. Вчера у нас была одна функция сделатьХорошо() и попала в релиз 1.0.0, а сегодня она переименована в сделатьПлохо(), сменили код этой функции, да ещё впридачу накинули ничегоНеСделать(). Всё это в релизе 2.0.0. Но если новый код будет использовать ничегоНеСделать(), то его версия 1.0.0 не устроит — там ведь функции нет. А если нужно будет сделатьХорошо(), то в версии 2.0.0 её уже не будет.

Люди — существа чертовски изобретательные, так что форматы версий у нас тоже всяко-разно изобретательны. Начиная от даты релиза (20161023) и номером билда (1243, она ещё ревизией зовётся), заканчивая полноценным семантическим версионированием. Первые потуги нас интересовать будут не сильно, а вот про SemVer можно поговорить.

Спецификация SemVer прямо говорит: версия задаётся тремя числами, разделённые точкой. Первое число — мажорная версия, увеличивается, когда происходят "ломающие" изменения типа удаления старых функций, второе — минорная версия, которая на новых фичах обычно увеличивается, а третье — патчи, это всякие багфиксы.

Вот сферическая версия в вакууме: 1.2.3.

На самом деле, в описании semver задано несколько правил, например, место пререлиза (например, 1.2.3-dev), метаданных (например, 1.2.3+build-15+20161023+amd64), ну и т.д. Если интересно — можете почитать, ссылочка в конце.

Так вот, здесь попробуем организовать разрешение зависимостей с версиями. Не будем брать пока очень мудрёную систему конфликтов.

Начнём с манифеста. Дополним его указанием версий:

{ "name": "pkg1", "versions":  [ { "number": "1.0.0"    , "files":      [ { "url": "http://example.com/pkg1/1.0.0/file1", "path": "/opt/pkg1/file1" }      , { "url": "http://example.com/pkg1/1.0.0file2", "path": "/opt/pkg1/file2" }      ]    , "depends":      [ { "name": "pkg11", "version": "^1" }      , { "name": "pkg12", "version": "1.6.2" }      ]    }  ]}

Ну и по аналогии с другими пакетами. Вот такое чудо у нас должно получиться.

Напомню, чем у нас закончилась прошлая часть:

def resolveDeps(name, resolved=None, unresolved=None):  resolved = resolved or []  unresolved = unresolved or []  if name in unresolved:    raise ValueError("circular dependencies detected")  if name in resolved:    return resolved  unresolved.append(name)  if not isInstalled(name):    manifest = getManifest(name)    for dep in manifest["deps"]:      resolveDeps(dep, resolved, unresolved)    resolved.append(name)  del unresolved[unresoved.index(name)]  return resolved

Давайте перепишем эту функцию так, чтобы она работала после наших изменений в манифесты:

def resolveDeps(name, resolved=None, unresolved=None):  resolved = resolved or []  unresolved = unresolved or []  if name in unresolved:    raise ValueError("circular dependencies detected")  if name in resolved:    return resolved  unresolved.append(name)  if not isInstalled(name):    manifest = getManifest(name)    version, data = getLatestVersion(manifest)  # получаем последнюю версию    for dep in latest["deps"]:      resolveDeps(dep["name"], resolved, unresolved)    resolved.append({"name": name, "version": version)  del unresolved[unresoved.index(name)]  return resolved

Всё хорошо и замечательно, вот только толку от того, что мы ввели версии, как-то нет совсем.

А вот далее нам потребуется очень серьёзная либа-парсер семверов. На Python есть semantic_version, которую я ещё портировал на MoonScript — очень доволен. Но это так, будем пока плавать на более высоком уровне абстракции.

Итак, версии. Тот самый граф, ещё раз:

Около стрелочек висят какие-то штуки, ^1, например. Эти штуки, которые мы ещё вписываем в манифесты пакетов, ограничивают варианты версий пакетов, которые можно поставить. ^1 говорит, что можно брать любую версию не менее 1.0.0 и не более следующего мажорного релиза (2.0.0). * говорит, что пофигу абсолютно, какая версия встанет. А точное указание версии, как, например, в случае с 1.6.2, не даёт установиться какой-либо другой версии.

Ну а так как они ограничивают, то и называются они ограничениями (или constriants). Пакетный менеджер — скажем так, классическая задача о соблюдении ограничений. Отнюдь не простая.

Раз есть версии, есть ограничения, нужно эти ограничения, значит, включить в функцию разрешателя. Например, дополнительным аргументом. Давайте так и поступим:

def resolveDeps(name, vconstraint="*" resolved=None, unresolved=None):  resolved = resolved or []  unresolved = unresolved or []  if name in unresolved:    raise ValueError("circular dependencies detected")  if name in resolved:    return resolved  unresolved.append(name)  # Создаём объект ограничения из строки  vconstraint = createSemVerConstraint(vconstraint)  if not isInstalled(name):    manifest = getManifest(name)    version, data = vconstraint.match(manifest)  # получаем версию, соответствующую ограничению    for dep in data["deps"]:      resolveDeps(dep["name"], dep["version"], resolved, unresolved)  # и не забываем передавать версию требуемую    resolved.append({"name": name, "version": version)  del unresolved[unresoved.index(name)]  return resolved

При запуске resolveDeps("pkg1") мы теперь получим

[ { "name": "pkg1-1-1"  , "version": "1.0.1"  }, { "name": "pkg1-1"  , "version": "1.2.4"  }, { "name": "pkg1-2"  , "version": "1.6.2"  }, { "name": "pkg1"  , "version": "1.2.3"  }]

Вот как это на графе будет:

Давайте теперь приспособим функцию install к установке:

def install(name):  depList = resolveDeps(name)  for pkg in depList:    manifest = getManifest(pkg["name"])    data = getVersion(manifest, pkg["version"])    for file in data["files"]:      download(file["url"], file["path"]

В общем-то, это всё. У нас есть вполне рабочая функция установки пакетов с учётом версии по Semantic Versioning. Однако у неё есть некоторые проблемы.

Ну, во-первых, мы ошибочно считаем, что если пакет установлен, то у него нужная версия. Если у нас уже будет пакет версии 1.12.53, а мы потребуем ^2, то новая версия не поставится. Рискуем попасть на глюки, баги. Кажется, надо просто обновить пакет!..

Но при таком решении невозможно организовать обновление пакетов.
Вообще. Никак. А почему?

У нас зависимости задаются в версиях. Каждая версия может сменить зависимости. При этом каждая новая версия может не соблюдать ограничения, которые дают зависимые от данного пакеты.

А вот вам адская ситуация:

Так вот, чтобы обновить выделенный пакет без нарушения всех зависимостей, потребовалось разрешать конфликты версий. Это достаточно сложный алгоритм, и о нём мы поговорим как-нибудь потом. Тем более, мне только предстоит ввести в свой ПМ резолвер конфликтов.

А пока можете почитать спецификацию SemVer.

.