Manter dependências reproduzíveis com lockfile

Ajude-me a tornar reproduzíveis as dependências de um projeto.
Ecossistema: [Ecossistema]
Sintoma: [Sintoma]
Equipe: [Equipe]
Passos: 1. Leia o arquivo de pacotes, o lockfile e os scripts de build e verifique se o lockfile está no repositório e se o build realmente o usa. 2. Encontre faixas de versão amplas, dependências puxadas direto de branches do Git e pacotes instalados só localmente. 3. Verifique se o build usa um comando que segue o lockfile de forma estrita em vez de resolvê-lo de novo. 4. Explique a diferença observada: qual pacote, qual versão e por meio de qual dependência. 5. Proponha regras: quem pode alterar o lockfile, como as atualizações são agrupadas e como conflitos de merge são resolvidos. 6. Proponha uma verificação no pipeline que falhe quando o arquivo de pacotes e o lockfile não coincidirem.
Resultado: causa da diferença, lista de correções, regras da equipe e a etapa do pipeline.

Preocupe-se especialmente em fazer com que todo build use exatamente as mesmas versões.

Antes de responder, confira: todas as instruções foram cumpridas? Se faltar uma informação importante ou ainda houver um campo entre colchetes no texto, pergunte em vez de adivinhar. Indique suposições como suposições.​