依赖发布年龄门守护 CI 管道

当攻击者获取包维护者凭证或在PyPI或npm上发布错字混淆的软件包时，恶意发布会立即被自动化工具发现。持续集成管道、自动化升级机器人和常规构建如果总是拉取最新的固定依赖，会立即执行这些代码。大多数情况下，一旦安全监控人员和维护者发现漏洞或恶意软件包，会在几天内将其撤回。通过审计依赖清单和锁定文件，确保每个固定包在公共注