Cargo.lock includes crates that aren't actually dependencies at all

[lmaotrigine]

Problem

I'm unsure if this is intended behaviour, but it definitely doesn't seem like it should be.

Enabling some features on a crate (in my specific case, sqlx) seem to generate entries in Cargo.lock that specify dependencies that aren't actually part of what Cargo ends up resolving while building the project.

For example here is the Cargo.lock entry for sqlx when I select only the postgres feature (along with some other things like macros and runtime)

[[package]]
name = "sqlx"
version = "0.7.3"
source = "registry+https://github.com/rust-lang/crates.io-index"
checksum = "dba03c279da73694ef99763320dea58b51095dfe87d001b1d4b5fe78ba8763cf"
dependencies = [
 "sqlx-core",
 "sqlx-macros",
 "sqlx-postgres",
]

And when I additionally enable the chrono feature, this happens:

[[package]]
name = "sqlx"
version = "0.7.3"
source = "registry+https://github.com/rust-lang/crates.io-index"
checksum = "dba03c279da73694ef99763320dea58b51095dfe87d001b1d4b5fe78ba8763cf"
dependencies = [
 "sqlx-core",
 "sqlx-macros",
 "sqlx-mysql",
 "sqlx-postgres",
 "sqlx-sqlite",
]

This is strange, because when I dig through the sqlx source, I see that all sub-crates use the ? syntax to ensure that the other drivers are excluded.

The same is also confirmed when I do a cargo tree

`cargo tree --target=all`

$ cargo tree --target=all

dep-issue-mcve v0.1.0 (/home/***/dep-issue-mcve)
└── sqlx v0.7.3
    ├── sqlx-core v0.7.3
    │   ├── ahash v0.8.6
    │   │   ├── cfg-if v1.0.0
    │   │   ├── getrandom v0.2.11
    │   │   │   ├── cfg-if v1.0.0
    │   │   │   ├── libc v0.2.150
    │   │   │   └── wasi v0.11.0+wasi-snapshot-preview1
    │   │   ├── once_cell v1.18.0
    │   │   └── zerocopy v0.7.26
    │   │       └── zerocopy-derive v0.7.26 (proc-macro)
    │   │           ├── proc-macro2 v1.0.70
    │   │           │   └── unicode-ident v1.0.12
    │   │           ├── quote v1.0.33
    │   │           │   └── proc-macro2 v1.0.70 (*)
    │   │           └── syn v2.0.39
    │   │               ├── proc-macro2 v1.0.70 (*)
    │   │               ├── quote v1.0.33 (*)
    │   │               └── unicode-ident v1.0.12
    │   │   [build-dependencies]
    │   │   └── version_check v0.9.4
    │   ├── atoi v2.0.0
    │   │   └── num-traits v0.2.17
    │   │       [build-dependencies]
    │   │       └── autocfg v1.1.0
    │   ├── byteorder v1.5.0
    │   ├── bytes v1.5.0
    │   ├── chrono v0.4.31
    │   │   ├── android-tzdata v0.1.1
    │   │   ├── iana-time-zone v0.1.58
    │   │   │   ├── android_system_properties v0.1.5
    │   │   │   │   └── libc v0.2.150
    │   │   │   ├── core-foundation-sys v0.8.4
    │   │   │   ├── iana-time-zone-haiku v0.1.2
    │   │   │   │   [build-dependencies]
    │   │   │   │   └── cc v1.0.83
    │   │   │   │       └── libc v0.2.150
    │   │   │   ├── js-sys v0.3.66
    │   │   │   │   └── wasm-bindgen v0.2.89
    │   │   │   │       ├── cfg-if v1.0.0
    │   │   │   │       └── wasm-bindgen-macro v0.2.89 (proc-macro)
    │   │   │   │           ├── quote v1.0.33 (*)
    │   │   │   │           └── wasm-bindgen-macro-support v0.2.89
    │   │   │   │               ├── proc-macro2 v1.0.70 (*)
    │   │   │   │               ├── quote v1.0.33 (*)
    │   │   │   │               ├── syn v2.0.39 (*)
    │   │   │   │               ├── wasm-bindgen-backend v0.2.89
    │   │   │   │               │   ├── bumpalo v3.14.0
    │   │   │   │               │   ├── log v0.4.20
    │   │   │   │               │   ├── once_cell v1.18.0
    │   │   │   │               │   ├── proc-macro2 v1.0.70 (*)
    │   │   │   │               │   ├── quote v1.0.33 (*)
    │   │   │   │               │   ├── syn v2.0.39 (*)
    │   │   │   │               │   └── wasm-bindgen-shared v0.2.89
    │   │   │   │               └── wasm-bindgen-shared v0.2.89
    │   │   │   ├── wasm-bindgen v0.2.89 (*)
    │   │   │   └── windows-core v0.51.1
    │   │   │       └── windows-targets v0.48.5
    │   │   │           ├── windows_aarch64_gnullvm v0.48.5
    │   │   │           ├── windows_aarch64_msvc v0.48.5
    │   │   │           ├── windows_i686_gnu v0.48.5
    │   │   │           ├── windows_i686_msvc v0.48.5
    │   │   │           ├── windows_x86_64_gnu v0.48.5
    │   │   │           ├── windows_x86_64_gnullvm v0.48.5
    │   │   │           └── windows_x86_64_msvc v0.48.5
    │   │   ├── num-traits v0.2.17 (*)
    │   │   └── windows-targets v0.48.5 (*)
    │   ├── crc v3.0.1
    │   │   └── crc-catalog v2.4.0
    │   ├── crossbeam-queue v0.3.8
    │   │   ├── cfg-if v1.0.0
    │   │   └── crossbeam-utils v0.8.16
    │   │       └── cfg-if v1.0.0
    │   ├── dotenvy v0.15.7
    │   ├── either v1.9.0
    │   │   └── serde v1.0.193
    │   │       └── serde_derive v1.0.193 (proc-macro)
    │   │           ├── proc-macro2 v1.0.70 (*)
    │   │           ├── quote v1.0.33 (*)
    │   │           └── syn v2.0.39 (*)
    │   ├── event-listener v2.5.3
    │   ├── futures-channel v0.3.29
    │   │   ├── futures-core v0.3.29
    │   │   └── futures-sink v0.3.29
    │   ├── futures-core v0.3.29
    │   ├── futures-intrusive v0.5.0
    │   │   ├── futures-core v0.3.29
    │   │   ├── lock_api v0.4.11
    │   │   │   └── scopeguard v1.2.0
    │   │   │   [build-dependencies]
    │   │   │   └── autocfg v1.1.0
    │   │   └── parking_lot v0.12.1
    │   │       ├── lock_api v0.4.11 (*)
    │   │       └── parking_lot_core v0.9.9
    │   │           ├── cfg-if v1.0.0
    │   │           ├── libc v0.2.150
    │   │           ├── redox_syscall v0.4.1
    │   │           │   └── bitflags v1.3.2
    │   │           ├── smallvec v1.11.2
    │   │           └── windows-targets v0.48.5 (*)
    │   ├── futures-io v0.3.29
    │   ├── futures-util v0.3.29
    │   │   ├── futures-core v0.3.29
    │   │   ├── futures-io v0.3.29
    │   │   ├── futures-sink v0.3.29
    │   │   ├── futures-task v0.3.29
    │   │   ├── memchr v2.6.4
    │   │   ├── pin-project-lite v0.2.13
    │   │   ├── pin-utils v0.1.0
    │   │   └── slab v0.4.9
    │   │       [build-dependencies]
    │   │       └── autocfg v1.1.0
    │   ├── hashlink v0.8.4
    │   │   └── hashbrown v0.14.3
    │   │       ├── ahash v0.8.6 (*)
    │   │       └── allocator-api2 v0.2.16
    │   ├── hex v0.4.3
    │   ├── indexmap v2.1.0
    │   │   ├── equivalent v1.0.1
    │   │   └── hashbrown v0.14.3 (*)
    │   ├── log v0.4.20
    │   ├── memchr v2.6.4
    │   ├── once_cell v1.18.0
    │   ├── paste v1.0.14 (proc-macro)
    │   ├── percent-encoding v2.3.1
    │   ├── rustls v0.21.9
    │   │   ├── ring v0.17.6
    │   │   │   ├── getrandom v0.2.11 (*)
    │   │   │   ├── libc v0.2.150
    │   │   │   ├── spin v0.9.8
    │   │   │   ├── untrusted v0.9.0
    │   │   │   └── windows-sys v0.48.0
    │   │   │       └── windows-targets v0.48.5 (*)
    │   │   │   [build-dependencies]
    │   │   │   └── cc v1.0.83 (*)
    │   │   ├── rustls-webpki v0.101.7
    │   │   │   ├── ring v0.17.6 (*)
    │   │   │   └── untrusted v0.9.0
    │   │   └── sct v0.7.1
    │   │       ├── ring v0.17.6 (*)
    │   │       └── untrusted v0.9.0
    │   ├── rustls-pemfile v1.0.4
    │   │   └── base64 v0.21.5
    │   ├── serde v1.0.193 (*)
    │   ├── serde_json v1.0.108
    │   │   ├── itoa v1.0.9
    │   │   ├── ryu v1.0.15
    │   │   └── serde v1.0.193 (*)
    │   ├── sha2 v0.10.8
    │   │   ├── cfg-if v1.0.0
    │   │   ├── cpufeatures v0.2.11
    │   │   │   └── libc v0.2.150
    │   │   └── digest v0.10.7
    │   │       ├── block-buffer v0.10.4
    │   │       │   └── generic-array v0.14.7
    │   │       │       └── typenum v1.17.0
    │   │       │       [build-dependencies]
    │   │       │       └── version_check v0.9.4
    │   │       ├── crypto-common v0.1.6
    │   │       │   ├── generic-array v0.14.7 (*)
    │   │       │   └── typenum v1.17.0
    │   │       └── subtle v2.5.0
    │   ├── smallvec v1.11.2
    │   ├── sqlformat v0.2.2
    │   │   ├── itertools v0.11.0
    │   │   │   └── either v1.9.0 (*)
    │   │   ├── nom v7.1.3
    │   │   │   ├── memchr v2.6.4
    │   │   │   └── minimal-lexical v0.2.1
    │   │   └── unicode_categories v0.1.1
    │   ├── thiserror v1.0.50
    │   │   └── thiserror-impl v1.0.50 (proc-macro)
    │   │       ├── proc-macro2 v1.0.70 (*)
    │   │       ├── quote v1.0.33 (*)
    │   │       └── syn v2.0.39 (*)
    │   ├── tokio v1.34.0
    │   │   ├── backtrace v0.3.69
    │   │   │   ├── addr2line v0.21.0
    │   │   │   │   └── gimli v0.28.1
    │   │   │   ├── cfg-if v1.0.0
    │   │   │   ├── libc v0.2.150
    │   │   │   ├── miniz_oxide v0.7.1
    │   │   │   │   └── adler v1.0.2
    │   │   │   ├── object v0.32.1
    │   │   │   │   └── memchr v2.6.4
    │   │   │   └── rustc-demangle v0.1.23
    │   │   │   [build-dependencies]
    │   │   │   └── cc v1.0.83 (*)
    │   │   ├── bytes v1.5.0
    │   │   ├── libc v0.2.150
    │   │   ├── mio v0.8.9
    │   │   │   ├── libc v0.2.150
    │   │   │   ├── wasi v0.11.0+wasi-snapshot-preview1
    │   │   │   └── windows-sys v0.48.0 (*)
    │   │   ├── pin-project-lite v0.2.13
    │   │   ├── socket2 v0.5.5
    │   │   │   ├── libc v0.2.150
    │   │   │   └── windows-sys v0.48.0 (*)
    │   │   └── windows-sys v0.48.0 (*)
    │   ├── tokio-stream v0.1.14
    │   │   ├── futures-core v0.3.29
    │   │   ├── pin-project-lite v0.2.13
    │   │   └── tokio v1.34.0 (*)
    │   ├── tracing v0.1.40
    │   │   ├── log v0.4.20
    │   │   ├── pin-project-lite v0.2.13
    │   │   ├── tracing-attributes v0.1.27 (proc-macro)
    │   │   │   ├── proc-macro2 v1.0.70 (*)
    │   │   │   ├── quote v1.0.33 (*)
    │   │   │   └── syn v2.0.39 (*)
    │   │   └── tracing-core v0.1.32
    │   │       └── once_cell v1.18.0
    │   ├── url v2.5.0
    │   │   ├── form_urlencoded v1.2.1
    │   │   │   └── percent-encoding v2.3.1
    │   │   ├── idna v0.5.0
    │   │   │   ├── unicode-bidi v0.3.13
    │   │   │   └── unicode-normalization v0.1.22
    │   │   │       └── tinyvec v1.6.0
    │   │   │           └── tinyvec_macros v0.1.1
    │   │   └── percent-encoding v2.3.1
    │   └── webpki-roots v0.25.3
    ├── sqlx-macros v0.7.3 (proc-macro)
    │   ├── proc-macro2 v1.0.70 (*)
    │   ├── quote v1.0.33 (*)
    │   ├── sqlx-core v0.7.3
    │   │   ├── ahash v0.8.6 (*)
    │   │   ├── atoi v2.0.0 (*)
    │   │   ├── byteorder v1.5.0
    │   │   ├── bytes v1.5.0
    │   │   ├── chrono v0.4.31 (*)
    │   │   ├── crc v3.0.1 (*)
    │   │   ├── crossbeam-queue v0.3.8 (*)
    │   │   ├── dotenvy v0.15.7
    │   │   ├── either v1.9.0 (*)
    │   │   ├── event-listener v2.5.3
    │   │   ├── futures-channel v0.3.29 (*)
    │   │   ├── futures-core v0.3.29
    │   │   ├── futures-intrusive v0.5.0 (*)
    │   │   ├── futures-io v0.3.29
    │   │   ├── futures-util v0.3.29 (*)
    │   │   ├── hashlink v0.8.4 (*)
    │   │   ├── hex v0.4.3
    │   │   ├── indexmap v2.1.0 (*)
    │   │   ├── log v0.4.20
    │   │   ├── memchr v2.6.4
    │   │   ├── once_cell v1.18.0
    │   │   ├── paste v1.0.14 (proc-macro)
    │   │   ├── percent-encoding v2.3.1
    │   │   ├── rustls v0.21.9 (*)
    │   │   ├── rustls-pemfile v1.0.4 (*)
    │   │   ├── serde v1.0.193 (*)
    │   │   ├── serde_json v1.0.108 (*)
    │   │   ├── sha2 v0.10.8
    │   │   │   ├── cfg-if v1.0.0
    │   │   │   ├── cpufeatures v0.2.11 (*)
    │   │   │   └── digest v0.10.7
    │   │   │       ├── block-buffer v0.10.4 (*)
    │   │   │       ├── crypto-common v0.1.6
    │   │   │       │   ├── generic-array v0.14.7 (*)
    │   │   │       │   └── typenum v1.17.0
    │   │   │       └── subtle v2.5.0
    │   │   ├── smallvec v1.11.2
    │   │   ├── sqlformat v0.2.2 (*)
    │   │   ├── thiserror v1.0.50 (*)
    │   │   ├── tokio v1.34.0 (*)
    │   │   ├── tokio-stream v0.1.14 (*)
    │   │   ├── tracing v0.1.40 (*)
    │   │   ├── url v2.5.0 (*)
    │   │   └── webpki-roots v0.25.3
    │   ├── sqlx-macros-core v0.7.3
    │   │   ├── atomic-write-file v0.1.1
    │   │   │   ├── nix v0.27.1
    │   │   │   │   ├── bitflags v2.4.1
    │   │   │   │   ├── cfg-if v1.0.0
    │   │   │   │   └── libc v0.2.150
    │   │   │   └── rand v0.8.5
    │   │   │       ├── libc v0.2.150
    │   │   │       ├── rand_chacha v0.3.1
    │   │   │       │   ├── ppv-lite86 v0.2.17
    │   │   │       │   └── rand_core v0.6.4
    │   │   │       │       └── getrandom v0.2.11 (*)
    │   │   │       └── rand_core v0.6.4 (*)
    │   │   ├── dotenvy v0.15.7
    │   │   ├── either v1.9.0 (*)
    │   │   ├── heck v0.4.1
    │   │   │   └── unicode-segmentation v1.10.1
    │   │   ├── hex v0.4.3
    │   │   ├── once_cell v1.18.0
    │   │   ├── proc-macro2 v1.0.70 (*)
    │   │   ├── quote v1.0.33 (*)
    │   │   ├── serde v1.0.193 (*)
    │   │   ├── serde_json v1.0.108 (*)
    │   │   ├── sha2 v0.10.8 (*)
    │   │   ├── sqlx-core v0.7.3 (*)
    │   │   ├── sqlx-postgres v0.7.3
    │   │   │   ├── atoi v2.0.0 (*)
    │   │   │   ├── base64 v0.21.5
    │   │   │   ├── bitflags v2.4.1
    │   │   │   ├── byteorder v1.5.0
    │   │   │   ├── chrono v0.4.31 (*)
    │   │   │   ├── crc v3.0.1 (*)
    │   │   │   ├── dotenvy v0.15.7
    │   │   │   ├── etcetera v0.8.0
    │   │   │   │   ├── cfg-if v1.0.0
    │   │   │   │   ├── home v0.5.5
    │   │   │   │   │   └── windows-sys v0.48.0
    │   │   │   │   │       └── windows-targets v0.48.5 (*)
    │   │   │   │   └── windows-sys v0.48.0 (*)
    │   │   │   ├── futures-channel v0.3.29 (*)
    │   │   │   ├── futures-core v0.3.29
    │   │   │   ├── futures-io v0.3.29
    │   │   │   ├── futures-util v0.3.29 (*)
    │   │   │   ├── hex v0.4.3
    │   │   │   ├── hkdf v0.12.3
    │   │   │   │   └── hmac v0.12.1
    │   │   │   │       └── digest v0.10.7 (*)
    │   │   │   ├── hmac v0.12.1 (*)
    │   │   │   ├── home v0.5.5 (*)
    │   │   │   ├── itoa v1.0.9
    │   │   │   ├── log v0.4.20
    │   │   │   ├── md-5 v0.10.6
    │   │   │   │   ├── cfg-if v1.0.0
    │   │   │   │   └── digest v0.10.7 (*)
    │   │   │   ├── memchr v2.6.4
    │   │   │   ├── once_cell v1.18.0
    │   │   │   ├── rand v0.8.5 (*)
    │   │   │   ├── serde v1.0.193 (*)
    │   │   │   ├── serde_json v1.0.108 (*)
    │   │   │   ├── sha1 v0.10.6
    │   │   │   │   ├── cfg-if v1.0.0
    │   │   │   │   ├── cpufeatures v0.2.11 (*)
    │   │   │   │   └── digest v0.10.7 (*)
    │   │   │   ├── sha2 v0.10.8 (*)
    │   │   │   ├── smallvec v1.11.2
    │   │   │   ├── sqlx-core v0.7.3 (*)
    │   │   │   ├── stringprep v0.1.4
    │   │   │   │   ├── finl_unicode v1.2.0
    │   │   │   │   ├── unicode-bidi v0.3.13
    │   │   │   │   └── unicode-normalization v0.1.22 (*)
    │   │   │   ├── thiserror v1.0.50 (*)
    │   │   │   ├── tracing v0.1.40 (*)
    │   │   │   └── whoami v1.4.1
    │   │   ├── syn v1.0.109
    │   │   │   ├── proc-macro2 v1.0.70 (*)
    │   │   │   ├── quote v1.0.33 (*)
    │   │   │   └── unicode-ident v1.0.12
    │   │   ├── tempfile v3.8.1
    │   │   │   ├── cfg-if v1.0.0
    │   │   │   ├── fastrand v2.0.1
    │   │   │   ├── redox_syscall v0.4.1 (*)
    │   │   │   ├── rustix v0.38.25
    │   │   │   │   ├── bitflags v2.4.1
    │   │   │   │   ├── errno v0.3.8
    │   │   │   │   │   ├── libc v0.2.150
    │   │   │   │   │   └── windows-sys v0.52.0
    │   │   │   │   │       └── windows-targets v0.52.0
    │   │   │   │   │           ├── windows_aarch64_gnullvm v0.52.0
    │   │   │   │   │           ├── windows_aarch64_msvc v0.52.0
    │   │   │   │   │           ├── windows_i686_gnu v0.52.0
    │   │   │   │   │           ├── windows_i686_msvc v0.52.0
    │   │   │   │   │           ├── windows_x86_64_gnu v0.52.0
    │   │   │   │   │           ├── windows_x86_64_gnullvm v0.52.0
    │   │   │   │   │           └── windows_x86_64_msvc v0.52.0
    │   │   │   │   ├── libc v0.2.150
    │   │   │   │   ├── linux-raw-sys v0.4.11
    │   │   │   │   └── windows-sys v0.48.0 (*)
    │   │   │   └── windows-sys v0.48.0 (*)
    │   │   ├── tokio v1.34.0 (*)
    │   │   └── url v2.5.0 (*)
    │   └── syn v1.0.109 (*)
    └── sqlx-postgres v0.7.3
        ├── atoi v2.0.0 (*)
        ├── base64 v0.21.5
        ├── bitflags v2.4.1
        ├── byteorder v1.5.0
        ├── chrono v0.4.31 (*)
        ├── crc v3.0.1 (*)
        ├── dotenvy v0.15.7
        ├── etcetera v0.8.0 (*)
        ├── futures-channel v0.3.29 (*)
        ├── futures-core v0.3.29
        ├── futures-io v0.3.29
        ├── futures-util v0.3.29 (*)
        ├── hex v0.4.3
        ├── hkdf v0.12.3 (*)
        ├── hmac v0.12.1 (*)
        ├── home v0.5.5 (*)
        ├── itoa v1.0.9
        ├── log v0.4.20
        ├── md-5 v0.10.6 (*)
        ├── memchr v2.6.4
        ├── once_cell v1.18.0
        ├── rand v0.8.5
        │   ├── libc v0.2.150
        │   ├── rand_chacha v0.3.1 (*)
        │   └── rand_core v0.6.4 (*)
        ├── serde v1.0.193 (*)
        ├── serde_json v1.0.108 (*)
        ├── sha1 v0.10.6 (*)
        ├── sha2 v0.10.8 (*)
        ├── smallvec v1.11.2
        ├── sqlx-core v0.7.3 (*)
        ├── stringprep v0.1.4 (*)
        ├── thiserror v1.0.50 (*)
        ├── tracing v0.1.40 (*)
        └── whoami v1.4.1

As you can see, sqlx-mysql and sqlx-sqlite (and their own dependencies) are not resolved. They are also not fetched while building. Why then are they part of the lock file?

This was reported in sqlx by someone else (probably because they too had a security advisory because sqlx-mysql depends on rsa), and one of the maintainers suggested that it may be a cargo bug.

And it does seem like a cargo bug to me because there should be no reason for these entries to be in the lock file if cargo never has to fetch them.

Steps

• cargo init --lib
• cargo add sqlx --no-default-features -F postgres,runtime-tokio,tls-rustls,macros
• grep -A10 -B1 'name = "sqlx"' Cargo.lock
• cargo tree --all-targets (with -i sqlx-mysql to have it fail)
• cargo add sqlx --no-default-features -F postgres,runtime-tokio,tls-rustls,macros,chrono
• grep -A10 -B1 'name = "sqlx"' Cargo.lock
• repeat cargo tree

Possible Solution(s)

No response

Notes

I'm not entirely sure that this isn't an issue with sqlx's feature configuration, and it is simply the fact that dependencies that are never resolved are included in the lock file that leads me to open this issue here.

Version

cargo 1.74.0 (ecb9851af 2023-10-18)
release: 1.74.0
commit-hash: ecb9851afd3095e988daaa35a48bc7f3cb748e04
commit-date: 2023-10-18
host: x86_64-unknown-linux-gnu
libgit2: 1.7.1 (sys:0.18.0 vendored)
libcurl: 8.4.0-DEV (sys:0.4.68+curl-8.4.0 vendored ssl:OpenSSL/1.1.1u)
ssl: OpenSSL 1.1.1u  30 May 2023
os: Ubuntu 22.04 (jammy) [64-bit]

[weihanglo]

Thanks for the detailed report!

This seems effectively the #10801 to me.

[lmaotrigine]

oh, so it seems. I did try to look for duplicates but I suppose I didn't use the right keywords. I shall close this and watch the linked issue instead. Thanks for the quick response!