执行摘要

• 一句话：升级 huggingface_hub 至 1.28.0，同步五份依赖清单
• 推荐动作：不值得精读，属于例行依赖刷新。可借鉴的点：vLLM 对核心依赖采用"common.txt 下限约束 + 测试环境精确锁定"的双轨策略，既保持用户侧灵活升级，又保证 CI 可复现；若后续 1.28.0 暴露行为回归，回滚只需同步改回这 5 个文件，成本极低。

功能与动机

PR body 仅说明这是一次版本号提升（Version bump for huggingface_hub version from 1.27.0 to 1.28.0），未关联 issue。huggingface_hub 负责 vLLM 的模型下载、HF 鉴权与磁盘缓存，是模型加载链路的起点；升级到 1.28.0 旨在同步上游修复与特性，保持与 HuggingFace 生态对齐。commit 由 AMD 工程师提交，标签覆盖 cpu/nvidia，可判断这是一次覆盖多平台的例行依赖刷新。

实现拆解

整体是单 commit 的机械替换，无返工痕迹：

1. 核心依赖下限提升：requirements/common.txt 中 huggingface_hub >= 1.27.0 改为 >= 1.28.0。common.txt 被所有安装路径共享，采用"下限约束"意味着用户与生产环境的 pip 解析会拿到满足约束的最新版，因此该行是本次升级影响面的源头。
2. 四平台测试依赖精确锁定：requirements/test/cpu.txt、cuda.txt、rocm.txt、xpu.txt 各自将 huggingface-hub==1.27.0 改为 ==1.28.0。测试环境使用"精确锁定"，保证 CI 在四个平台上的依赖可复现，与 common.txt 的下限策略形成互补。
3. 无配套改动：没有源码、测试或文档联动修改，模型下载、缓存、鉴权等调用方全部保持原样；兼容性完全依赖 CI 兜底。

关键文件：

• requirements/common.txt（模块 依赖管理；类别 config；类型 dependency-bump）: vLLM 所有安装路径共享的核心依赖清单，下限约束（>= 1.28.0）直接决定用户与生产环境的 huggingface_hub 版本解析结果，是本 PR 影响面的源头。
• requirements/test/cuda.txt（模块 依赖管理；类别 config；类型 dependency-bump）: CUDA 是 vLLM 默认主平台，其测试环境精确锁定 1.28.0，是本 PR 覆盖面最广的验证入口。
• requirements/test/rocm.txt（模块 依赖管理；类别 config；类型 dependency-bump）: AMD ROCm 测试环境同步锁定 1.28.0；提交签名来自 AMD（akaratza@amd.com），点明该平台是本次升级的动力来源之一。
• requirements/test/cpu.txt（模块 依赖管理；类别 config；类型 dependency-bump）: CPU 平台测试环境的依赖锁定同步，与 PR 标签中的 cpu 对应；CPU CI 是 vLLM 常驻测试矩阵，确保 1.28.0 在该平台可复现。
• requirements/test/xpu.txt（模块 依赖管理；类别 config；类型 dependency-bump）: Intel XPU 测试环境同步锁定 1.28.0，保证异构平台依赖矩阵一致。

关键符号：未识别

评论区精华

本 PR 没有出现实质技术交锋：作者评论 /ci run 触发 Buildkite CI #84415；claude[bot] 指出该 PR 来自 fork、自动审查被禁用，维护者可通过 @claude review 手动触发；维护者 hmellor 直接 APPROVED，未留下任何评论或疑虑。结论：变更零争议、无未解决疑虑，唯一的技术验证来自 CI 四平台跑通。

• fork 来源 PR 自动审查被禁用 (other): 未触发人工 Claude review，维护者 hmellor 直接手动批准，无任何评论。
• CI 触发与验证 (other): CI 通过，升级经 cpu/cuda/rocm/xpu 四平台测试环境验证。

风险与影响

• 风险：风险集中在三处：

• 核心依赖行为漂移：huggingface_hub 控制模型下载、缓存与鉴权，若 1.28.0 调整缓存键、snapshot 逻辑或下载接口行为，会直接影响所有用户首次模型加载。

• CI 与生产版本差：common.txt 是下限约束（>=），CI 验证的是 ==1.28.0，但用户环境 pip 解析可能命中更高版本，CI 覆盖不到那一段版本区间。这是 vLLM 依赖管理双轨策略的固有代价。
• 变更说明缺失：PR 未随附 1.28.0 的 changelog，升级原因与上游改动不可见；风险主要靠 Buildkite CI #84415 的四平台测试结果缓解。
• 影响：影响面为：所有 pip 安装 vLLM 的用户在依赖解析时可能拿到 1.28.0+ 的 huggingface_hub，模型下载缓存链路行为可能发生轻微变化；cpu/cuda/rocm/xpu 四套测试环境的依赖锁定版本全部刷新，CI 可复现基线同步前移；对 vLLM 自身 API 与用户接口无任何变化。影响程度中等偏低，属于例行维护节奏。
• 风险标记：核心依赖升级, CI 与生产版本差, 缺少 changelog 说明

关联脉络

• PR #52681 Upgrade Flashinfer version to 0.6.17: 同为测试依赖清单升级，共享 requirements/cuda.txt 等依赖文件，属于 vLLM 周期性上游依赖刷新主线。
• PR #52569 [XPU] update xpu-manager to v2.1.0: 同为平台基础设施依赖升级，反映 vLLM 定期同步上游依赖的维护节奏。