级别
| 级别 | 写法示例 | 特点 |
|---|---|---|
| 浮动 | latest / ^1.0（宽范围） | 自动跟随更新，可复现性差 |
| 精确版本 | 1.2.3 | 可读且基本可复现（仓库需不可变） |
| 内容摘要 | sha256:<digest> / 哈希锁 | 可复现性强，可读性差 |
分层策略
分层策略
应用依赖：锁定文件（精确闭包）
容器基础镜像：具体版本；高保障场景固定 digest
内部构件：按摘要引用并校验签名固定与更新是一对：固定依赖必须配自动更新通道，否则陷入「冻结的老旧」。
依赖固定策略（版本与摘要）
按风险选择固定级别：精确版本 > 范围约束 > 浮动版本；容器基础镜像与关键依赖可固定到内容摘要。
易错点
- 全量固定且无更新机制：安全补丁无法进入，建立机器人升级节奏
- 依赖私服被绕过（直接公网）：固定版本也可能被同名包劫持，统一出口
数据来源与参考
- Semantic Versioning 2.0.0
- Go Modules Reference
- npm Docs