待验证50% 置信发布精确时间
claude-code-setup 为该项目建议了 PreToolUse 钩子，阻止直接编辑版本管理相关文件（manifest.json、src/version.js、package-lock.json、coverage/），因为项目通过 npm run version:* 同步三个文件的版本号。
1
来源数
50%
置信度
短期 (~14 天)
时效性
2026/10/17
首次发现
有效期至：2026/10/31
来源
涉及实体
相关事实
待验证使用锁文件（package-lock.json 或 yarn.lock）可以固定依赖版本，避免版本漂移导致的不一致问题73% 相似待验证面对纯依赖同步的补丁版本，使用 lockfile 严格锁定的项目可以按需升级，不必追赶每一个补丁号；使用范围版本号（如 ^3.0.0）的项目已自动拿到更新，需关注核心包行为是否变化。70% 相似待验证建议使用 package-lock.json 或 pnpm-lock.yaml 精确锁定实际安装版本，并通过 Dependabot、Renovate 等工具按计划提交升级 PR68% 相似待验证此前当项目中尚未创建 .claude/settings.local.json 文件时，用户点击'始终允许'授权选项无法被正确保存，该版本修复后系统会自动创建并持久化授权选择68% 相似待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本68% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1050797API
curl https://kongchang.com/api/v1/knowledge/claims/1050797MCP
get_claim(id=1050797)