Pinning Transitive Dependencies
Pinning Transitive Dependencies — Chinese original prompt
扫描报告说 [包名] 有漏洞，但我们没有直接依赖它。请说明怎么找出完整引入链（哪个顶层包、经过几层、[包管理器] 的解析规则），再给出干预方式：顶层直接声明覆盖版本、用 overrides 之类的段落强制、或升级上层包。并说明覆盖之后怎么验证没有破坏 [功能模块]。
Site original
Chinese original
How to use
覆盖版本后要跑一遍真实构建，锁文件里的传递依赖常带来隐性不兼容。