как вы обновляете requirements.txt?

все остальные поставить самые последние

На текущий момент? pip freeze.

Вообще последние? Не нужно.

обновить прямые зависимости до конкретных версий, а все остальные поставить самые последние

Разработчики иногда такие шалунишки - при таком подходе ты можешь получить нерабочий проект, так как кто-то мог сломать обратную совместимость и какая-то из зависимостей, для которой ты прописал конкретную версию, может сломаться при обновлении ее зависимостей до последней версии.

А зачем зависимости зависимостей в requirements.txt прописывать, кроме как чтобы не залочить их? Обновляй прямые зависимости, а остальное выпили пока. Потом посмотришь, какие версии поставились и залочишь. В идеале это должно всё автоматически происходить. Вот например: https://github.com/pypa/pipfile

Ответ на все твои вопросы простой: мы всё тестируем.

Обновляй прямые зависимости, а остальное выпили пока

Вот про это я и спрашиваю. В requirements.txt не сказано какие зависимости прямые.

Один из вариантов что я придумал это держать отдельный requirements-main.txt в котором руками прописаны только прямые зависимости. Потом делается так:

pip install -r requirements-main.txt
pip freeze --local > ./requirements.txt

Да, наверно так и поступлю. На сколько понял, pipfile делает точно так же, только автоматизирует, верно? Надо будет попробовать.

еще можешь pip-tools попробовать применить

А в чем проблема?

pip install -U -r requirements.txt

cat requirements.txt
direct==1.0.1
undirect
directother=2.5
undirectother>=23.1

О, про --upgrade забыл, спасибо. Хотя, всё равно хотелось бы иметь отдельный список прямых зависимостей чтобы было проще вычищать. У нас много барахла скопилось, был случай когда возникли проблемы с пакетами которые вообще не были нужны.