# CI 工具链固定版本（host-verify / release 共用）。
# 只含 CI 检查工具，不含生产运行依赖：生产代码除宿主侧延迟加载的
# psycopg/psycopg2 驱动外只用标准库，仓库内无 requirements 清单，
# 因此 pip-audit 目前只能审计本文件（见 workflow 注释与 PR 摘要）。
# 升级版本时须同步本地试跑结果，禁止只改版本号不验证。
ruff==0.17.3
bandit==1.9.4
mypy==2.4.1
coverage==7.17.0
pip-audit==2.10.1