依赖管理：升级与安全

依赖管理负责记录、安装与更新项目所用第三方包，既要可复现构建，也要及时修复漏洞。AI 可辅助评估升级影响、生成 PR 与修复建议。

是什么

依赖管理用清单（requirements.txt、pyproject.toml）与锁文件固定版本，保证不同环境装到同一套包。升级与安全补丁在此流程中统一管控。

为什么有用

依赖混乱会导致「本地能跑线上挂」，旧版本还藏已知漏洞。规范的依赖管理让构建可复现、漏洞可追踪，是供应链安全的第一道防线。

怎么用

用 Dependabot 自动开升级 PR，配置示例：

version: 2
updates:
  - package-ecosystem: "pip"
    directory: "/"
    schedule:
      interval: "weekly"

本地可用 uv 快速解析与安装：

uv pip install -r requirements.txt

注意点

升级先做兼容检查与测试，避免破坏性变更。锁文件必须入库。定期跑审计工具，区分直接与传递依赖的风险。

小结

依赖管理靠清单与锁文件保证可复现，并用自动升级与审计守住安全；关键是测试护航升级、锁文件入库、漏洞持续跟踪。

参考与延伸阅读

• GitHub Dependabot 文档。已核验。https://docs.github.com/code-security/dependabot
• Astral uv 官方文档。已核验。https://docs.astral.sh/uv/