requirements.txt

开发者在 requirements.txt 中发现“地雷”，归咎于关键依赖项

一位开发者在阅读了类似事件的报道后，发现了自己项目依赖管理中的一个关键漏洞。他们的项目依赖于 `mcp` 包，但没有任何版本限制，这意味着任何未来的 `pip install` 都可能拉取到一个破坏性的版本。尽管由于本地开发实践尚未导致生产环境中断，但这种疏忽与导致另一位开发者部署崩溃的完全相同的问题如出一辙。修复方法是将依赖项固定到特定的版本范围（`>=1.28.0,<2.0.0`），以确保稳定性和防止意外的运行时错误。