生态
| 生态 | 锁文件 | 还原命令 |
|---|---|---|
| Node.js | package-lock.json / yarn.lock / pnpm-lock.yaml | npm ci / yarn --frozen-lockfile |
| Python | requirements.txt（编译版）/ poetry.lock / uv.lock | pip install -r / poetry install --sync |
| Go | go.sum（模块校验） | go mod download |
| Maven | 无独立锁文件（Gradle 有） | mvn -o dependency:resolve（离线复核） |
通用规则
通用规则
1. 锁文件进版本库、进评审
2. CI 用「严格还原」命令而非「解析升级」命令
3. 升级走独立变更：diff 可读、风险可评估Maven 生态惯用固定版本号（无锁文件）：依赖解析确定性靠「版本固定 + 仓库不可变」共同保证。