开源 python 项目依赖管理器锁定文件，无硬编码 package URL

Question

一些国家实施了国家防火墙，这使得访问某些 package 存储库变得极其困难。 还有一些公司只允许使用内部回购。 许多人坚持锁定文件应该保存在源代码管理中。 似乎许多 dep 经理（至少是poetry 、 pdm和pipenv ）直接引用了锁定文件中的 repo URL。 这意味着不能简单地使用默认（国际）repo url（通常是 pypi）。

我不明白为什么仓库 URL 在锁定文件中有任何用途，因为我们有很强的哈希值。 package 管理器似乎都无法轻松地简单地拥有覆盖配置（如 PIP_INDEX_URL），并且只需在配置文件和锁定文件中拥有 package 名称、版本和 Z0800FC577294C34E0B28AD283939394。 这对于私人公司回购来说很好，但对于开源项目来说却是一个痛苦。

是否有一些常见的简单方法可以为项目执行此操作，以便开源开发人员很容易参考他们最好的 repo URL 并且还具有完全指定的包？ 或者我是否只需要强制使用确切的版本（例如，在我的 pyproject.toml 中）并且根本不在源代码管理中保留锁定文件？