除Cargo.toml外，Rust依赖还可在哪里声明？ring的web-sys依赖来源疑问

1. web-sys 依赖的来源 #

你遇到的情况主要有两个核心原因：

• 版本不匹配：你查看的是ring仓库main分支的Cargo.toml，但你关注的是0.16.20这个旧版本。该版本的Cargo.toml里，web-sys是作为可选特性依赖存在的，或者是某个直接依赖的传递依赖。切换到仓库的0.16.20标签查看对应版本的配置文件，就能找到相关声明。
• 传递依赖特性：crates.io会展示所有直接依赖和传递依赖的总和，而Cargo.toml只显示项目直接声明的依赖。如果web-sys不是ring直接声明的，那它一定是ring某个直接依赖（比如wasm-bindgen这类WebAssembly相关依赖）在启用特定特性时引入的子依赖。

2. 除了Cargo.toml，指定Rust依赖的其他途径 #

• Cargo.lock文件：这个文件会自动锁定所有依赖的具体版本，一般由Cargo自动生成更新，但你也可以手动修改它来强制固定某个依赖的版本（不过不推荐随意修改）。
• 工作区根Cargo.toml：如果是多 crate 的工作区项目，根目录的Cargo.toml可以通过[workspace.dependencies]定义共享依赖，子 crate 只需引用这些共享依赖，无需重复声明版本等信息。
• 命令行指令：使用cargo add命令可以直接添加依赖，它会自动写入Cargo.toml；或者在cargo build/cargo run时通过--features参数临时启用带有依赖的特性，不过这属于临时生效的配置，不会持久化到文件。
• build.rs构建脚本：在少数复杂场景下，build.rs可以通过生成代码或调用Cargo的API间接引入依赖，常用于动态处理平台相关或条件性的依赖需求。

内容的提问来源于stack exchange，提问作者at54321