包管理与工具链

每种后端语言都有 依赖声明、锁文件、构建、测试、发布 的惯用法。异构团队最怕 「我会 Maven，但看不懂 go.mod / Cargo.toml」——本节把 npm、cargo、go mod、NuGet、gem 与 Java Maven 放在同一视角，并衔接本站已有 track。

学习目标

• 对照各语言包管理器与锁文件习惯
• 读懂他人仓库的依赖与构建入口
• 建立供应链安全的基本意识（版本 pinning、SBOM）

对照表

生态	声明文件	锁文件	安装/构建	本站 track
Java	pom.xml / Gradle	间接锁定	mvn test package	java-maven
Node	package.json	package-lock.json	npm ci, npm test	node-modules
Python	pyproject.toml / requirements	poetry.lock 等	pip install, pytest	python-fundamentals
Go	go.mod	go.sum	go build, go test	本 track pl-go
Rust	Cargo.toml	Cargo.lock	cargo build, cargo test	本 track pl-rust
C#	.csproj	packages.lock.json（可选）	dotnet build	本 track pl-csharp
Ruby	Gemfile	Gemfile.lock	bundle install	本 track pl-ruby
PHP	composer.json	composer.lock	composer install	php-composer

共同模式

1. 语义化版本 ^1.2.3 vs 精确 pin——生产 CI 应 可重复构建
2. 私有 registry：Nexus、Artifactory、GitHub Packages 服务多语言
3. Monorepo：Bazel、Nx、Gradle 多模块；Go workspace、Cargo workspace
4. 容器发布：多阶段 Dockerfile，mvn/go/cargo/dotnet publish 再 COPY 产物

工具链一瞥

编辑 → fmt/lint → unit test → integration → 镜像/制品 → 部署
         │              │
    gofmt/clippy    Testcontainers（Java 常见）
    eslint          docker compose（本地多服务）

与 github-actions-essentials 衔接：CI 里 矩阵构建 可并行测 Java + Go 模块。

供应链注意

• Dependabot / Renovate：跨 repo 升依赖
• 锁文件进 Git：拒绝「只有我机器能编」
• 审计：npm audit, cargo audit, OWASP Dependency-Check（Maven）

练习

• 打开 backend 的 pom.xml，对照 package.json 或 go.mod 找「依赖声明 + 插件/脚本」类比
• 读 php-composer 的 PSR-4，对比 Java package 与 Go module path
• 列一个假想的 polyglot repo 目录：/java-service, /go-gateway, /proto 各放什么文件

小结

包管理语法不同，纪律相同：锁版本、可重复构建、CI 门禁。 下一课与 Java 互操作。