Wie entscheidest du, was du pinnst, und wie hältst du Abhängigkeiten aktuell?

Pinne exakt in der Lockfile und halt die deklarierten Bereiche in pyproject relativ großzügig. Das gibt dir reproduzierbare Installationen, ohne dich von Upgrades auszusperren. Automatisier Updates mit einem Bot, der kleine Pull Requests aufmacht, lass die CI entscheiden, ob sie sicher sind, und behandle Sicherheitsmeldungen als eigenen Strang, der sich vordrängelt, statt auf den nächsten Schwung zu warten.

Zwei verschiedene Aufgaben, also zwei verschiedene Antworten. Die Lockfile pinnt exakte Versionen und Hashes, und genau das installieren CI und Produktion, sodass Builds reproduzierbar sind und eine gestern grüne Pipeline etwas bedeutet. Die deklarierten Constraints in pyproject bleiben locker, meist nur eine Untergrenze plus eine Obergrenze am nächsten Major, sodass Upgrades möglich sind, ohne jede Zeile zu editieren. Aktuell zu bleiben ist die schwerere Hälfte. Wir lassen einen Bot laufen, der wöchentlich einen Pull Request pro Abhängigkeit aufmacht, und weil sie klein sind und die Suite ordentlich ist, mergen die meisten auf Grün, ohne dass jemand lange nachdenkt. Major-Sprünge werden richtig gelesen. Sicherheitsmeldungen umgehen die Kadenz komplett, und pip-audit läuft in der CI, sodass eine bekannt verwundbare transitive Abhängigkeit den Build brechen lässt, statt unbemerkt herumzuliegen. Der Fehlermodus, den ich selbst erlebt habe, ist der umgekehrte: ein Service, zwei Jahre eingefroren, dann eine kritische Django-Meldung, die vier Major-Versionen an einem Wochenende erzwingt.