Kilit Dosyası (Lockfile)

Kilit dosyası, bir paket yöneticisinin bir proje için çözdüğü her bağımlılığın — doğrudan ve dolaylı — tam sürümünü, genellikle her biri için bir içerik özetiyle kaydeder. Bildirim dosyası ne istediğinizi söyler ("bu kitaplığın 4.x sürümlerinden biri"); kilit dosyası ise ne aldığınızı söyler, altı seviye aşağıda kimsenin bilerek seçmediği dolaylı bağımlılığa kadar. Onu depoya işlemek kurulumu yeniden üretilebilir kılan şeydir: aynı işleme, her seferinde yeniden çözüp o arada yayımlanmış her neyse onu almak yerine dizüstünde, sürekli tümleştirmede ve üretim imajında aynı bağımlılık ağacını üretir. Bu yeniden üretilebilirliğin söylenmeye değer üç sonucu vardır. Hata ayıklama mümkün hale gelir; çünkü ikisinin de kanıtlanabilir biçimde aynı kodu çalıştırdığı bilindiğinde "yerelde çalışıyor, CI'da çalışmıyor" bir gizem olmaktan çıkar. Tedarik zinciri incelemesi mümkün hale gelir; çünkü kilit dosyası bir tarayıcının yayımlanmış açıklarla eşleştirdiği yetkili listedir ve kaydedilen özetler, sürüm numarası artmadan içeriği değişmiş bir paketi saptar. Ve yükseltmeler bilinçli olur: bağımlılıklar bir sonraki derlemede sessizce değil, biri güncelleme çalıştırıp farkı incelediğinde ilerler. Bununla birlikte iki uygulama gider. Çözüp yeniden yazan komutu değil, kilit dosyasına birebir uyan ve uyuşmazlıkta hata veren kurulum komutunu kullanın; garantiyi CI'da yalnızca katı biçim verir. Ve aylarca sürüklenmesine izin vermeyin — hiç güncellenmeyen bir kilit dosyası bilinen açıkları biriktirir ve sıradan bir yükseltmeyi eninde sonunda büyük ve riskli birine çevirir.