package-management

本文批评了 uv 包管理 CLI 的用户体验，指出了缺少如 `uv outdated` 等特性、没有上限的默认版本约束不安全，以及与 pnpm 和 Poetry 相比笨重的升级命令等问题。

本文指出依赖冷却期不公平地增加了较早时区开发者的负担，并提出基于项目标识符的确定性分阶段部署，以更公平地分配采用率。

npm 引入了分阶段发布功能，允许包维护者在更新上线前通过双因素认证进行审核和批准，从而增强安全性。

本文探讨了在上游维护者未能解决漏洞时，针对不同语言包管理器修补和分支依赖项的策略。文章对比了系统包管理器强大的修补能力与语言注册表的局限性，并详细介绍了在各种生态系统中使用 Git 覆盖和分支等变通方法。

讨论 Debian 分发可复现软件包的要求，以确保构建的一致性和安全性。

文章探讨了Claude Mythos、Big Sleep和Microsoft Copilot等AI模型正日益发现CVE漏洞，以及Nix/Flox如何通过依赖集去重，将CVE分类复杂度从O(n)降低到O(u)，提供声明式包管理解决方案。