package-registries

作者认为，直接从 VCS（如 Go 语言的做法）获取依赖比使用带有发布步骤的包注册中心（如 Ruby、npm、PyPI）更安全且更易于审计。