feat: install the Docker image from the locked dependency set (uv.lock) for reproducible builds

问题场景

用户在构建 Open WebUI Docker 镜像时触发该讨论。具体来说，Docker 镜像通过 requirements-slim.txt（或 requirements.txt）安装 Python 依赖，直接依赖虽被精确固定，但其下层间接依赖未固定。Issue 正文称 slim 镜像中约 80 个固定项会解析出 179 个已安装包，即约 97 个间接依赖在每次构建时从 PyPI 重新解析。因此同一提交重复构建可能得到不同依赖版本，回滚重建也不保证与替换的镜像一致。

报错原文

feat: install the Docker image from the locked dependency set (uv.lock) for reproducible builds

原因分析

可能原因：Dockerfile 未使用仓库中已维护的 uv.lock。Issue 指出仓库已有 uv.lock 并在 CI 中用 uv lock –check 校验（参见 #27557），但镜像构建仍从只精确固定直接依赖的 requirements 文件安装，未对间接依赖做版本与哈希锁定，因此每次构建都重新解析这些依赖。

环境排查

• 确认当前使用的 Open WebUI 提交是否包含 uv.lock，以及该锁文件是否通过 uv lock –check。
• 确认 Dockerfile 使用的依赖安装来源是 requirements-slim.txt 还是 requirements.txt。
• 确认是否为 slim 镜像构建路径（USE_SLIM 变体），Issue 提到 slim 与 full 镜像需分别处理导出的锁定文件。
• 对比两次相同提交构建出的镜像，检查已安装 Python 包的版本差异。

解决步骤

1. 如为下游 fork，Issue 提到可作为变通方案：由 fork 自行从 requirements-slim.txt 编译带哈希的锁定文件，并修改 Dockerfile 从该文件安装；该方案需在每个上游版本发布后重新同步，且官方镜像用户不受益。
2. 上游可优先尝试 Issue 建议的方向：从 uv.lock 导出锁定依赖（例如使用 uv export 生成 requirements-txt 格式并带哈希），slim 与 full 镜像各自生成导出文件，再在构建时以哈希校验方式安装；此方案在 Issue 中仅为建议，未标注已验证。
3. 由于 slim 依赖集合目前未在 pyproject.toml 中表达，Issue 提出两种可能路径：为 slim 之外的包建立可选 extra 或依赖组，使一次锁定可导出两种变体；或对每个 requirements 文件分别执行带哈希的编译锁定。
4. 无论采用哪种方式，都需要让随仓库提交的锁定文件准确描述镜像实际安装的内容，以便下游审计与依赖扫描。

验证方法

对相同提交连续构建两次，比较镜像内已安装 Python 包版本，确认完全一致；同时确认构建过程中安装的每个包文件均与锁定哈希匹配。还需检查依赖扫描工具报告的内容与镜像实际安装集合一致。

参考来源

open-webui/open-webui #33979

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。