待验证50% 置信事实精确时间
package-lock.json 或 pnpm-lock.yaml 记录解析后的确切版本树，锁文件不变时 npm install 不会拉取新的补丁。
1
来源数
50%
置信度
长期有效
时效性
2026/10/27
首次发现
来源
涉及实体
相关事实
待验证npm install 在 lockfile 与 package.json 不一致时会自动更新依赖，可能引入未经测试的版本79% 相似已验证建议使用 package-lock.json 或 pnpm-lock.yaml 精确锁定实际安装版本，并通过 Dependabot、Renovate 等工具按计划提交升级 PR76% 相似待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本72% 相似待验证即使 @ai-sdk/xai 的版本声明允许向上兼容，只要锁文件未更新，实际安装的 @ai-sdk/provider-utils 仍可能是旧版本；执行 npm update 等命令才会真正改写锁文件并拉取新版本。71% 相似待验证claude-code-setup 为该项目建议了 PreToolUse 钩子，阻止直接编辑版本管理相关文件（manifest.json、src/version.js、package-lock.json、coverage/），因为项目通过 npm run version:* 同步三个文件的版本号。70% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1105084API
curl https://kongchang.com/api/v1/knowledge/claims/1105084MCP
get_claim(id=1105084)