你的 AI 编程工具跑着你从未锁定过版本的软件，这个 lockfile 补上了这个缺口

MCP 服务器在每次启动时都会重新解析版本，没有任何记录说明你批准的是哪个版本，CI 也无从发现它何时发生了变化。mcp-audit v0.18.0 补上了这个缺失的文件。 打开你所用 AI 编程工具的 MCP 配置，Cursor、Claude Code、VS Code、Windsurf，哪个都一样。你会看到类似这样的配置： json "filesystem": { "command": "npx", "args": ["-y", "@modelcontextprotocol/server-filesystem", "."] } 用包管理器的方式读这行配置：工具每次启动时， npx 都会去仓库