待验证50% 置信权衡取舍精确时间
当 pyproject.toml 中声明的包版本与锁文件中的记录出现漂移时，可能导致本地与 CI 环境行为不一致
1
来源数
50%
置信度
长期有效
时效性
2026/10/8
首次发现
来源
涉及实体
相关事实
待验证Pixi的锁文件（pixi.lock）递归记录所有传递依赖的精确版本号和SHA256内容哈希值56% 相似待验证在高频迭代的依赖库中，提交并维护锁文件（如 package-lock.json 或 pnpm-lock.yaml）可确保团队成员和 CI 环境依赖一致55% 相似待验证修复了当Edit/Write/Read权限规则路径中包含圆括号时规则被判定无效或被Bash沙箱忽略，导致只读文件夹实际可写的安全隐患55% 相似待验证v2.1.292修复了PreToolUse钩子审批和auto模式在读取来自网络（UNC）路径文件时可能绕过权限提示的安全问题55% 相似待验证PyPI 历史上多次出现 typosquatting 攻击，恶意发布者注册与知名库名称相似的包名诱导开发者错误安装含恶意代码的包54% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/986693API
curl https://kongchang.com/api/v1/knowledge/claims/986693MCP
get_claim(id=986693)