执行bundle install未遵守Gemfile.lock导致依赖gem自动升级问题咨询

问题根因 #

本次问题本质是bundler 1.x版本的已知特性缺陷，以及间接依赖版本约束缺失共同导致的：

• 你当前使用的bundler 1.17.2对跨平台原生gem的lock处理逻辑存在漏洞，若本地生成Gemfile.lock的操作系统与服务器操作系统不一致（比如本地为macOS、服务器为Linux），涉及nokogiri这类带原生扩展的gem时，会触发依赖重解析逻辑
• 未在Gemfile中主动声明间接依赖的版本约束，若上层依赖对nokogiri的版本范围要求宽松，重解析时就会拉取符合范围的最新版本，无视原lock文件的锁定版本
• 若部署时未指定冻结模式，bundler检测到Gemfile与lock文件的依赖范围存在匹配空间时，会自动升级符合范围的间接依赖

可落地的规避方案 #

• 强制冻结lock文件执行安装：服务器部署时固定使用带冻结参数的安装命令，完全遵守Gemfile.lock的版本约束，只要存在不匹配就直接抛出错误终止安装，不会自动更新依赖：

  bundle install --frozen --deployment
  

  如果环境中存在多个bundler版本，可指定对应版本执行避免版本混淆：

  bundle _1.17.2_ install --frozen --deployment
  

• 主动锁定核心间接依赖：在Gemfile中主动声明对核心间接依赖的版本约束，比如针对本次出问题的nokogiri添加：

  gem 'nokogiri', '~> 1.11.0' # 锁定在1.11小版本范围内，不会自动升级到1.12
  

  主动声明后，即便触发依赖重解析，也不会超出你指定的版本范围。
• 统一依赖解析的平台信息：在本地提交Gemfile.lock前，执行命令添加服务器对应的平台信息，避免跨平台触发重解析：

  bundle lock --add-platform x86_64-linux
  

  执行后提交更新后的lock文件到代码仓库即可。
• 部署前校验lock文件一致性：在部署脚本中添加校验逻辑，确认服务器上拉取的Gemfile.lock和仓库中提交的版本完全一致，避免lock文件被意外篡改导致的异常升级。
• 规范依赖更新操作：日常开发中禁止直接执行无参数的bundle update，若需要更新指定gem，执行bundle update [gem名称]仅更新目标gem，避免全量重解析依赖升级无关包。后续如果Ruby版本升级到对应适配范围，可升级到bundler 2.x版本，该版本对lock文件的处理逻辑更严谨，可大幅降低这类意外升级的概率。

内容的提问来源于stack exchange，提问作者Bala