版本锁定实战:从 git tag 到 package-lock.json 的完整闭环 我维护一个内部 CLI 工具,最近被一个诡异 bug 折腾了两天:同事在 CI 上拉下来的依赖版本,和我本地完全对