已验证75% 置信事实精确时间

lockfile（如 package-lock.json 或 pnpm-lock.yaml）记录整个依赖树中每个包的精确版本与完整性校验哈希，确保不同环境安装结果一致

3

来源数

75%

置信度

长期有效

时效性

2026/9/15

首次发现

来源

Vercel AI SDK Vue 4.0.102 发布：依赖更新与补丁修复

涉及实体

package-lock.jsonconcept pnpm-lock.yamlconcept

相关事实

待验证锁文件记录依赖树中每个包的精确版本号和完整性哈希，是防止自动升级到恶意版本的第一道防线72% 相似待验证在高频迭代的依赖库中，提交并维护锁文件（如 package-lock.json 或 pnpm-lock.yaml）可确保团队成员和 CI 环境依赖一致71% 相似待验证使用锁定文件（如 Gemfile.lock）可确保构建的可复现性，避免依赖版本被意外篡改65% 相似待验证package-lock.json等自动生成的锁文件动辄数千甚至上万行会虚高代码统计数字65% 相似待验证建议在生产环境中使用锁定版本（lockfile）以确保构建的可复现性64% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/923317

API

curl https://kongchang.com/api/v1/knowledge/claims/923317

MCP

get_claim(id=923317)