Но в реальной жизни requests < 2.0 уже содержат много багов, security проблем, и скорее всего уже не работают нормально с последней версии api контача. Иначе бы эту peer зависимость уже обновили бы 100 раз.
Но все перечисленные проблемы перетекут в твой проект если он позволяет использовать вещь, которую сломали 10 лет назад.
Не обязательно. Версия 1 от 2 отличается только поломкой обратной совместимости. При этом никто не запрещает чинить баги в вресии 1. А за счёт того, что можно использовать одновременно разные версии одного пакета, можно сделать что бы v1 зависела от v2, использовала её код и просто предоставляла клиентам "обёртку", которая совместима с v1.