待验证50% 置信解决方案精确时间
npm 的 peerDependencies 约束与锁文件（package-lock.json、pnpm-lock.yaml）是排查依赖版本错配问题的第一入口。
1
来源数
50%
置信度
长期有效
时效性
2026/10/23
首次发现
来源
涉及实体
相关事实
待验证Lockfile 是 npm、pnpm、yarn 等包管理器生成的依赖版本快照文件，常见形式为 package-lock.json、pnpm-lock.yaml 或 yarn.lock。77% 相似待验证npm 的 package-lock.json 锁定每个依赖的精确哈希，npm audit 对接 NVD 自动比对已知 CVE77% 相似待验证开发者可通过 npm audit 与锁定文件（package-lock.json / pnpm-lock.yaml）降低依赖替换风险70% 相似待验证软件供应链安全中的依赖锁定机制（如npm的package-lock.json、Python的requirements.txt哈希锁定）通过固化依赖版本与完整性指纹来对静默更新告警69% 相似已验证锁文件（如 pnpm-lock.yaml、package-lock.json、yarn.lock）记录项目实际安装的每个依赖及精确版本；当直接依赖要求更高版本时，包管理器会提升锁文件条目，可能触发间接依赖同步变动。68% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1090941API
curl https://kongchang.com/api/v1/knowledge/claims/1090941MCP
get_claim(id=1090941)