# LLM Context
URL: https://diegocecato.dcsolution.it/lockfile-integrita-dipendenze-package-manager/

# Il lockfile blocca la versione. Non sempre blocca il codice.

> Un lockfile fissa le dipendenze, ma la verifica dell'integrità dipende da checksum affidabili, enforcement e policy di firma. Analisi critica dello studio Trail of Bits su 25 package manager e dei controlli pratici per CI.

## Articolo
- [Il lockfile blocca la versione. Non sempre blocca il codice.](https://diegocecato.dcsolution.it/lockfile-integrita-dipendenze-package-manager/): analisi originale e implicazioni operative

## Fonti tecniche
- [Trail of Bits: Package managers have an integrity problem](https://blog.trailofbits.com/2026/10/14/package-managers-have-an-integrity-problem/): metodologia sperimentale e caveat
- [Go Modules Reference](https://go.dev/ref/mod): checksum database e GOSUMDB
- [NuGet config](https://learn.microsoft.com/en-us/nuget/reference/nuget-config-file): signatureValidationMode e trustedSigners
- [npm ci](https://docs.npmjs.com/cli/commands/npm-ci/): comportamento del lockfile in CI