pip 安裝總逾時？Clash 分流 PyPI 與 files.pythonhosted.org 網域修復步驟（2026）

1. pip 並非單一端點：Simple 索引與檔案 CDN 為何常被拆開

當你執行 pip install requests 這種看似單線程的動作時，底層實際上有多輪對話：先向索引端點請求發行版本中繼資料，接著再由該資料裡所列的檔案 URL去拉對應的 wheel（預編譯二進位） 或sdist（原始碼壓縮包）。前者與套件搜尋、版本枚舉、Simple 格式的 HTML/XML 細節有關，通常對應到主站與其子路徑；後者為大流量對象，多數發行會落在 files.pythonhosted.org。這代表你在 Clash 裡如果只寫了 pypi.org 走代理或只允許這個網域後綴豁免直連，卻沒有把檔案分發 CDN 對齊在同一出口語意裡，結果就是「看得到版本清單、抓不到對應 whl」，安裝畫面上常顯示在某一個大包或某個子依賴上反覆Read timed out。

對開發者而言，真正想解決的是：讓這兩段連線的出口策略可被你自己解釋並重現。不是要背誦所有 PyPI endpoint，而是建立一張「對照表」與對應的規則：pypi.org 與pypi.io等舊名稱有時仍可見於說明書或紀錄，但多數問題案例裡最常漏掉的是*.pythonhosted.org相關的檔案主機線路。本篇後段會以一組可用的規則片段示意思路，並提醒你把企業私有源與公開 PyPI分離，避免一刀切把內網 Nexus／Artifactory 也強制送入海外策略組。

2. 典型症狀與紀錄上「看起來像 DNS、其實是出口」的情境

最典型的搜尋意圖詞彙多半是「pip timeout」「pypi 逾時」「files.pythonhosted 連線失敗」這類複合問題。對照日常症狀，通常包含：開始下載到一半停住、對某些含大量依賴的專案在特定平台 wheel 來源上不斷倒退重試，以及在公司網路的透明代理／憑證檢查環境中被誤認為CERTIFICATE_VERIFY_FAILED。先粗分問題層級可避免改錯地方：若在 Clash 連線紀錄裡完全看不到對應 443 埠的請求進入本機 mixed-port／TUN，問題多半出在終端沒有吃到代理環境或走了不同 routing table；若紀錄顯示已連上節點卻對某個遠端反覆 RST／逾時，則多半是節點品質或被動探測過度，需要對策略組做fallback／url-test級別的微調——這類題目與 策略組穩定性相關，本文只點出不應把一切怪到 pip 自己身上。

另有大量案例其實是fake-ip／redir-host 與規則匹配對象不一致：你在規則裡匹配的是網域名稱，紀錄卻顯示某個區段 IP「命中 MATCH」並走你不想走的出口。把 Sniffer／日誌中還原的 SNI／Host 對回網域名稱後，往往能發現問題核心仍在「沒對齊規則」而非「pypi 伺服器死掉」。對應的更完整拆解可延續閱讀 Sniffer／SNI 與紀錄 一文，並與本篇第 7 節的對照練習一起使用。

3. 終端對齊：HTTP_PROXY、HTTPS_PROXY 與全域／專案的邊界

對多數類 Unix 環境以及很多 IDE 附帶終端來說，HTTPS_PROXY 與HTTP_PROXY 仍以 http://127.0.0.1:PORT 形式填入本機Clash mixed-port最直覺，因為 HTTPS 亦可透過 HTTP CONNECT 轉發。僅設定其中一側、或未同步小寫變數，在多工具鏈並存時仍能造成偶發漂移；與本站 npm／pnpm 篇 一致，建議在團隊文件明訂：以哪種 Shell／CI runner 為唯一標準語法，並把NO_PROXY對齊到公司內部 Registry、localhost、以及你已選定的境內鏡像主機（若你希望它們直連）。

若你是在 WSL2 或 Docker 容器 裡執行pip，請別直接沿用宿主機視角下的127.0.0.1：不同網路命名空間中，本機環回位址對應的行程不同，必須改指可在該命名空間內路由到的宿主 IP 或側車代理埠。容器與 WSL 的情境若硬套 Windows 終端環境會反覆掉入「環境設定其實寫對了但仍連線不到 mixed-port」的陷阱。

# Session-only; point to local Clash mixed-port
export HTTP_PROXY=http://127.0.0.1:7890
export HTTPS_PROXY=http://127.0.0.1:7890
export http_proxy=$HTTP_PROXY https_proxy=$HTTPS_PROXY
pip install --upgrade pip

4. pip 設定檔：逾時時間、trusted-host（鏡像場景）與不要混來源策略

pip 的使用者級設定通常在 ~/.pip/pip.conf 或對應的作業系統路徑。除了 mirror 類的index-url不要與公開 PyPI 混用來源鎖檔紀錄這種老話題以外，對跨國／高延遲場景最直接的舒緩參數是拉長逾時與降低並發對單一端點的尖峰擠爆感：例如把timeout調高、對大型環境適度分拆安裝，避免一次把上百套件同時對同一 CDN 發起競爭請求。trusted-host僅在有明文 HTTP／自簽或企業終端解密情境才應斟酌啟用，否則等於自行放寬安全邊界，應先在網路基礎設施層級把 TLS 問題解準。

若你已改指國內或企業公開鏡像，務必對照規則：鏡像主機應DIRECT或可預期的內網出口，並確保--trusted-host只覆蓋你真的需要覆蓋的 hostname，而不要寫成過寬網域。仍要記得：鏡像回傳的檔案 URL 若跳出指向原版 pythonhosted CDN，則對該 CDN 的出口仍須能被你的環境順利達成，這就是為什麼「只修 index-url」常失敗的根因。

5. Clash／mihomo：規則順序、網域條列與「同一策略組包住兩張網域」

規則由上而下第一次命中即止，因此請把企業鏡像、內網私庫與你不想經過海外節點的對象放在更前面。公開 PyPI 相關的兩張重要網域卡建議對齊到同一開發者策略組（例如你已為 GitHub／容器 Registry 建好的一組），以降低「第一段走代理成功、第二段回落直連卡住」這種割裂感。DOMAIN-KEYWORD容易過肥，對 PyPI CDN 的情境通常不如DOMAIN-SUFFIX精準。

以下是結構示意，策略組與標籤名稱請改為你設定檔內實際存在的名稱，勿直接複製而未替換：重點是網域名稱與順序意圖。pypi.pythonhosted.org 這類CNAME／子網域在日誌中若常出現，可視需要用更具體的DOMAIN規則補齊。若你尚未完成訂閱匯入，可先走 訂閱匯入教學 把基礎策略組建立好，再回來貼開發者向網域條目。

# Example only — replace policy group emoji/name with yours
rules:
  - DOMAIN-SUFFIX,company.internal,DIRECT
  - DOMAIN-SUFFIX,pypi.org,🔰 Dev-Proxy
  - DOMAIN-SUFFIX,pythonhosted.org,🔰 Dev-Proxy
  - DOMAIN-SUFFIX,files.pythonhosted.org,🔰 Dev-Proxy

若你的訂閱檔已內建「開發者／AI／雲端」大型分類，請檢查是否有更底層的 MATCH 規則提前把流量送往不同出口，導致你手動新增條目永遠排不到。此時不是 pip 壞了，而是覆寫（override）與訂閱 merge 優先序需要調整；GUI 客戶端如 Clash Verge Rev 通常提供較直覺的覆寫檔案位置，但仍建議以紀錄欄位驗證命中規則名稱。

6. DNS、Fake-IP 與 Sniffer：對齊紀錄欄位的解讀習慣

在 mihomo 系核心裡，DNS 模式會影響規則看到的請求型態與匹配時機。若你啟用 Fake-IP，客戶端可能在早期階段先取得一個「假位址」；後續是否能在 HTTPS 層還原出正確 SNI，取決於 Sniffer 與相關開關。對 pip 這類長連線下載，若規則條目以網域為核心，而你在紀錄裡反覆看到 IP 命中了不想命中的策略，回到 DNS／Fake-IP 基礎文逐項校準，通常比盲目堆DOMAIN-KEYWORD有效。

另請留意：有些企業網路會對 DoH／DoT 做額外攔截，導致你在 Clash 內設定的「乾淨 DNS」其實根本沒出去；此時症狀會像「偶發解析到怪 IP」或「IPv6 優先但出口沒開」。把 系統解析器、Clash DNS 區塊、以及實際連線紀錄三者一起看，才能判斷是解析還是傳輸出問題。

7. 驗證與對照：pip install -vvv、測試式 GET 與連線紀錄

建議把排查拆成可重現的三條時間線對照：①pip install smallpkg -vvv的輸出裡對到的 host；②用curl對https://pypi.org/simple/pip/與一個你已知的files.pythonhosted.org路徑做探測請求（僅確認 TLS／HTTP），確認不是企業解密憑證鏈不完整；③在 Clash／Verge／FlClash 的連線清單確認該請求對應的規則名稱是否與你預設相同。這個流程對「到底是沒進代理」「進錯代理」「進對代理但 CDN 對端問題」三件事能快速分叉。

若verbose輸出顯示對某大包 wheel反覆卡住，可先嘗試單套件安裝、或鎖小到同一平台的 wheel／指定版本，以降低同時對多 CDN 發起的burst。另一方面，對需要本地編譯的 sdist 路徑，瓶頸常已不在 PyPI CDN，而是在編譯鏈抓取額外的二進位依賴；此時請改看編譯日誌，不要硬是加大代理逾時期望值。

# Verbose logs list hosts pip actually touches
pip install urllib3 -vvv

8. Poetry、uv／conda／容器：複用同一張出口地圖的提醒

Poetry、uv、PDM這類仍以「PyPI 相容格式」為骨幹的工具，底層仍會回到類似的索引＋artifact兩段式路徑；你在 Clash 裡畫好的pypi.org與pythonhosted.org對應，通常可以整張複用，只差在是否要額外處理git+https類依賴或私有 wheelhouse。conda／mamba則多半是另一組頻域名稱矩陣，請勿假設只要把 PyPI 修好就能連帶解決 conda 下載問題。

在 DevContainer 場景若希望「容器內的 pip」與主機完全一致，請同時對齊HTTP(S)_PROXY環境注入與側車代理聽/bind 位址是否在 bridge 網段可達；並避免在docker-compose堆疊中把NO_PROXY寫得過窄導致內部委託請求繞到外網再回到內網。

9. 常見問題 FAQ