Mantenere riproducibili le dipendenze con un lockfile

Mi aiuti a rendere riproducibili le dipendenze di un progetto.
Ecosistema: [Ecosistema]
Sintomo: [Sintomo]
Team: [Team]
Procedura: 1. Legga il file dei pacchetti, il lockfile e gli script di build e verifichi se il lockfile è nel repository e se la build lo usa davvero. 2. Trovi intervalli di versione ampi, dipendenze prese direttamente da branch Git e pacchetti installati solo in locale. 3. Verifichi se la build usa un comando che segue il lockfile in modo rigoroso invece di risolverlo di nuovo. 4. Spieghi la differenza osservata: quale pacchetto, quale versione e tramite quale dipendenza. 5. Proponga regole: chi può modificare il lockfile, come si raggruppano gli aggiornamenti e come si risolvono i conflitti di merge. 6. Proponga un controllo nella pipeline che fallisca se file dei pacchetti e lockfile non coincidono.
Risultato: causa della differenza, elenco delle correzioni, regole del team e il passo della pipeline.

Fai particolare attenzione a faccia in modo che ogni build usi esattamente le stesse versioni.

Prima di rispondere, controlla: hai rispettato tutte le indicazioni? Se manca un'informazione importante o nel testo è rimasto un segnaposto tra parentesi quadre, chiedi invece di indovinare. Indica chiaramente le ipotesi.​