依赖固定与升级窗口
把 SDK、框架与工具链版本锁定，并约定固定的升级窗口：平时不随机升级，窗口内集中升级并跑回归与安全复测。锁文件与镜像摘要保证开发、测试、生产跑的是同一套依赖，避免“我这边能跑”这类无法复现的问题。
基本信息
| 锁定方式 | 锁文件、版本号固定、镜像摘要 |
|---|---|
| 升级窗口 | 常规按月一次，安全补丁随到随评 |
| 升级流程 | 读变更说明 → 本地回归 → 测试环境复测 → 灰度 → 全量 |
| 回滚 | 保留上一个镜像与锁文件，一处切换即可回退 |
| 安全 | 订阅依赖漏洞公告，评估影响面并排定修复优先级 |
典型使用场景
- 多环境一致性：锁文件让三套环境的依赖版本完全相同
- 安全响应：漏洞公告出来后按影响面决定是否走紧急升级
- 大版本升级：先在测试环境跑完整回归，再灰度验证
- 镜像分发：按摘要拉取，防止同名标签被覆盖导致内容变化
- 问题回溯：依赖版本记录在案，排查时可精确还原当时环境
锁定与升级流程
锁定与升级流程
锁定: 语言锁文件 + 镜像 digest（不用浮动标签）
窗口: 每月一次常规升级；安全补丁按影响面紧急评估
流程: 读变更说明 → 本地回归 → 测试环境复测 →
灰度 5% → 全量；记录升级前后版本对
回滚: 保留上一个镜像与锁文件，切换标签即可回退
记录: 每次升级写明动机、影响面与验证结果依赖类型与锁定方式
| 依赖类型 | 锁定方式 | 风险 |
|---|---|---|
| 语言包 | 锁文件精确版本 | 不锁则不同环境解析出不同版本 |
| 基础镜像 | 摘要而非标签 | 标签可被覆盖，内容静默变化 |
| 外部服务 SDK | 固定版本并记录 | 版本漂移导致行为变化 |
| 模型与推理框架 | 固定版本并做安全复测 | 升级后防护效果可能变化 |
锁定不等于永不升级：长期不动的依赖会把安全补丁与兼容性改造堆成一次高风险大升级。