Como você decide o que fixar e como mantém as dependências atualizadas?

Fixe exatamente no lock file, e mantenha as faixas declaradas no pyproject relativamente permissivas. Isso dá instalações reprodutíveis sem te trancar fora dos upgrades. Automatize atualizações com um bot que abre pull requests pequenos, deixe o CI decidir se são seguros, e trate avisos de segurança como uma trilha própria que fura a fila em vez de esperar o próximo lote.

São dois trabalhos diferentes, então duas respostas diferentes. O lock file fixa versões e hashes exatos, e é isso que CI e produção instalam, então builds são reprodutíveis e um pipeline verde de ontem significa alguma coisa. As restrições declaradas no pyproject ficam frouxas, normalmente só um limite inferior mais um teto na próxima versão maior, então upgrades são possíveis sem editar cada linha. Manter atualizado é a metade mais difícil. A gente roda um bot automatizado que abre um pull request por dependência numa cadência semanal, e como eles são pequenos e a suíte é decente, a maioria entra no verde sem ninguém pensar muito. Saltos de versão maior a gente lê direito. Avisos de segurança pulam a cadência inteira, e o pip-audit roda no CI para uma dependência transitiva com vulnerabilidade conhecida quebrar o build em vez de passar despercebida. O modo de falha que eu já vivi é o oposto, um serviço congelado por dois anos, e aí um aviso crítico do Django forçando quatro versões maiores num fim de semana.