O Que É uma Locked Dependency Tree?

Uma locked dependency tree é o grafo completo e resolvido de cada dependência direta e transitiva com sua versão exata e hash de conteúdo, registrado em um lockfile. As instalações leem o lockfile em vez de re-resolver intervalos de versões, então duas máquinas buscam pacotes idênticos. É a base de builds repetíveis.

Por que isso importa

Sem um lock, um build que passa pode quebrar depois quando uma dependência transitiva publica uma nova versão. Hashes fixados também bloqueiam que pacotes adulterados sejam substituídos silenciosamente.

Guias relacionados