锁文件（Lockfile）

记录依赖解析后确切版本（及常含校验信息）的文件，使安装可复现。应用项目通常应提交锁文件；库项目策略因生态而异。

CI 安装、生产构建、安全复现。

package.json / go.mod …   （声明范围）
lock 文件                 （精确版本图，宜提交）

• 手改锁文件
• 多包管理器双锁冲突

• 依赖：被锁定的版本集合
• 包管理器：生成与消费锁文件
• 可复现构建：锁文件的主要收益
• 语义化版本：约束范围与锁定实例的关系