待验证50% 置信事实精确时间

软件供应链安全中的依赖锁定机制（如npm的package-lock.json、Python的requirements.txt哈希锁定）通过固化依赖版本与完整性指纹来对静默更新告警

1

来源数

50%

置信度

长期有效

时效性

2026/10/6

首次发现

来源

mcpgawk：防住MCP服务器批准后偷偷变脸的安全工具

涉及实体

npmproduct Pythontechnology

相关事实

待验证在高频迭代的依赖库中，提交并维护锁文件（如 package-lock.json 或 pnpm-lock.yaml）可确保团队成员和 CI 环境依赖一致74% 相似待验证从不可信来源执行代码是软件安全领域最基本的禁忌之一，应通过代码签名、包管理器验证、沙箱执行等手段防范72% 相似待验证包管理平台的安全依赖于维护者身份验证、包发布流程、版本完整性校验以及平台基础设施安全等多个环节71% 相似已验证lockfile（如 package-lock.json 或 pnpm-lock.yaml）记录整个依赖树中每个包的精确版本与完整性校验哈希，确保不同环境安装结果一致70% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/980800

API

curl https://kongchang.com/api/v1/knowledge/claims/980800

MCP

get_claim(id=980800)