如何强制Cargo发布时使用Cargo.lock中的依赖版本？

问题背景 #

你的crate依赖的hdpath（要求bitcoin >=0.27）和hwkey（要求bitcoin =0.28）与根项目共用bitcoin依赖，本地Cargo.lock固定了bitcoin:0.28.1可以正常编译，但发布时Cargo会忽略Cargo.lock，重新解析依赖——hdpath会匹配最新的bitcoin:0.29.2，而hwkey和根项目用0.28.1，导致同一依赖出现多版本，引发数据类型不兼容。

可行解决方案 #

1. 锁定根项目公共依赖的精确版本

直接修改Cargo.toml中bitcoin的依赖声明为精确版本：

[dependencies]
bitcoin = "=0.28.1"
hdpath = "0.6"
hwkey = "0.1"

根据SemVer规则，=0.28.1会强制所有依赖使用该版本：hdpath的>=0.27范围满足，hwkey的=0.28范围（对应>=0.28.0 <0.29.0）也兼容0.28.1，Cargo解析时会统一使用0.28.1。

2. 使用Cargo resolver v2 + 依赖补丁（Patch）

在Cargo.toml中启用新版依赖解析器，并通过patch强制指定bitcoin版本：

[package]
name = "your-crate-name"
version = "0.1.0"
resolver = "2" # 启用新版解析器，支持更灵活的依赖控制

[dependencies]
bitcoin = "0.28"
hdpath = "0.6"
hwkey = "0.1"

[patch.crates-io]
bitcoin = { version = "0.28.1" }

patch会强制Cargo优先使用指定的0.28.1版本，无论依赖的版本范围是否允许更高版本，确保所有依赖共用同一版本的bitcoin。

3. 本地依赖覆盖（仅适用于开发阶段）

如果只是本地开发时需要固定版本，可以在项目根目录的.cargo/config.toml中添加依赖覆盖：

[override]
bitcoin = "0.28.1"

注意：该配置仅对本地开发生效，发布时Cargo不会读取此文件，无法解决发布后的依赖版本问题。

补充说明 #

Cargo忽略Cargo.lock发布是设计初衷：Cargo.lock用于固定本地开发/CI的依赖版本，保证环境一致性；而发布时依赖解析遵循Cargo.toml的版本范围，允许用户安装时获取符合要求的最新安全版本。如果需要强制所有使用者使用特定版本，优先选择前两种方案。

内容的提问来源于stack exchange，提问作者Igor Artamonov