依存関係のピン留め - CI/CD 用語集の定義

依存関係のピン留め とは、依存関係を一つの正確なバージョンに固定すること（例えば ^4.17.0 ではなく lodash@4.17.21）で、これによりすべての build が同一のコードを解決するようにします。

CI で重要な理由

ピン留めされていない range は、2 回の CI 実行の間に新しい patch が紛れ込むのを許し、あなた自身のコード変更が一切ないのに緑の build を赤に変えてしまいます。通常は lockfile を介したピン留めが、この非決定性の原因を取り除きます。

コスト

ピン留めしたバージョンは古くなり、セキュリティ patch を取り逃します。そのためチームは、ピン留めを Dependabot や Renovate のような自動アップデータと組み合わせ、定期的にピンを引き上げる PR を開かせます。

関連ガイド