实践中部分项目会将依赖更新甚至内部重构归入补丁发布，因此“补丁即安全”只是概率性结论。