Definition. Ein Lockfile hält für jede direkte und transitive Abhängigkeit die exakt aufgelöste Version fest, bei vielen Werkzeugen zusammen mit einer kryptografischen Prüfsumme des Artefakts. Beispiele sind composer.lock, package-lock.json und uv.lock. pip prüft solche Hashes seit Version 8.0 im Hash-Prüfmodus.

Warum relevant. Ohne Lockfile kann jede Installation eine andere Version auflösen, auch eine gerade kompromittierte. Mit Lockfile und Prüfsummen kommt eine neue Version nur über eine bewusste Aktualisierung in die Umgebung, und ein ausgetauschtes Artefakt mit gleicher Versionsnummer fällt durch. Wer das Lockfile im falschen Moment aktualisiert, schreibt eine schlechte Version allerdings fest. Deshalb gehört eine Karenzzeit dazu.

Beispiel. Umgebungen, die LiteLLM über ein Lockfile mit Hashes auf einer älteren Version hielten, blieben vom Vorfall um Version 1.107.0 im Oktober 2026 unberührt.

Verwandt. Karenzzeit, Image-Digest, Supply-Chain-Angriff, SBOM