怎么锁定Dependency版本

“锁定 Dependency 版本”通常指在项目中固定依赖的具体版本，避免意外升级导致问题。不同语言/工具有不同做法，下面按常见生态说明：

一、Java（Maven / Gradle）

Maven

1. 直接指定版本

<dependency>
  <groupId>org.apache.commons</groupId>
  <artifactId>commons-lang3</artifactId>
  <version>3.12.0</version>
</dependency>

2. 使用 dependencyManagement 锁定

<dependencyManagement>
  <dependencies>
    <dependency>
      <groupId>com.fasterxml.jackson.core</groupId>
      <artifactId>jackson-databind</artifactId>
      <version>2.15.2</version>
    </dependency>
  </dependencies>
</dependencyManagement>

3. 禁止版本区间 避免使用 [1.0,2.0) 这种写法。

Gradle

1. 精确版本

implementation 'com.google.guava:guava:32.1.2-jre'

2. 强制版本

configurations.all {
    resolutionStrategy {
        force 'com.google.guava:guava:32.1.2-jre'
    }
}

3. 锁定版本（Gradle Lockfile）

./gradlew dependencies --write-locks

生成 gradle.lockfile

二、JavaScript / TypeScript（npm / yarn / pnpm）

npm

• package.json 使用精确版本（不带 ^ 或 ~）

"dependencies": {
  "lodash": "4.17.21"
}

• 提交 package-lock.json

yarn

yarn install --frozen-lockfile

提交 yarn.lock

pnpm

pnpm install --frozen-lockfile

提交 pnpm-lock.yaml

三、Python（pip / poetry / pipenv）

pip

# requirements.txt
django==4.2.7

pip install -r requirements.txt

Poetry

[tool.poetry.dependencies]
requests = "==2.31.0"

提交 poetry.lock

Pipenv

pipenv lock

提交 Pipfile.lock

四、Go

Go Modules

go mod tidy

提交 go.mod 和 go.sum

精确版本示例：

require github.com/gin-gonic/gin v1.9.1

五、通用最佳实践

✅ 提交 lock 文件（lockfile）
✅ CI 中使用 --frozen-lockfile / --locked
✅ 定期升级并重新锁定，而不是完全放任
❌ 避免 latest、版本区间、无版本声明

如果你能告诉我具体语言或构建工具（如 Maven / npm / Gradle / Python），我可以给你更精确的操作步骤。