Pip download поддерживает режим –require-hashes. Каждый выбранный distribution сверяется с разрешенной контрольной суммой.

Подготовьте полный requirements

В hash-checking mode прямые и транзитивные зависимости должны быть явно перечислены, закреплены точной версией и снабжены подходящими хэшами для каждого разрешенного архива.

python -m pip download --require-hashes -r requirements.txt --dest wheelhouse

Загружайте в пустой каталог

Новая папка отделяет проверенный результат от старых wheels и sdist, которые могли появиться другим запуском без хэшей, с иного индекса или для другой платформы.

Проверьте установку без сети

После загрузки создайте чистое окружение, установите набор через no-index и find-links, затем выполните pip check и тесты проекта на целевой системе.

Публикуйте wheelhouse только вместе с исходным requirements, параметрами target и хэшами файлов, иначе происхождение готового набора останется недоказуемым.

Формат хэшей разбирает режим require-hashes. Ограничения описывает руководство secure installs.