待验证50% 置信注意事项精确时间
npm install 在 lockfile 与 package.json 不一致时会自动更新依赖，可能引入未经测试的版本
1
来源数
50%
置信度
长期有效
时效性
2026/9/29
首次发现
来源
涉及实体
相关事实
待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本68% 相似待验证补丁版本更新通常向后兼容，可通过 npm update @ai-sdk/zai 或对应包管理器命令升级65% 相似待验证只有上层依赖包同步发布更新，最终用户才能通过 npm update 命令获得上游底层包的修复64% 相似待验证使用锁文件（package-lock.json 或 yarn.lock）可以固定依赖版本，避免版本漂移导致的不一致问题63% 相似待验证在生产环境中，建议使用 lockfile（如 pnpm-lock.yaml）锁定精确版本，避免因自动升级引入意外的行为变化62% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/958769API
curl https://kongchang.com/api/v1/knowledge/claims/958769MCP
get_claim(id=958769)