Codex 修改依赖后项目坏了，如何要求它不要随便升级版本

AI 在修问题时可能发现新版本 API 更方便，于是顺手改 package.json、go.mod 或 lockfile。小问题因此变成依赖升级。生产项目最好默认禁止无关依赖升级。

一、为什么会出现这个问题

• Codex 当前工作目录、仓库范围或项目规则不明确。
• 一次任务给得太大，导致读取上下文、修改文件和运行命令的范围失控。
• AGENTS.md、Git 状态、测试命令和危险操作边界没有提前定义。
• CLI、Node.js、终端环境变量或第三方兼容层与预期不一致。

二、推荐的排查顺序

1. 先确认工作目录和 Git

每次启动任务前执行 pwd、git status、git remote -v。先知道自己在哪里、工作区是否干净，再让 Agent 动手。

2. 把任务边界写清楚

明确允许修改哪些目录、禁止修改什么、测试命令是什么、怎样算完成。比“帮我优化一下”有效得多。

3. 先 Plan 再 Edit

大型任务先让 Codex 列出涉及文件和计划，再进入修改。任务中途也要看 diff，避免最后一次性出现几十个无关改动。

三、可以直接复制的排查示例

约束：
- 不升级任何依赖版本
- 不修改 package-lock.json / pnpm-lock.yaml
- 不执行 npm update / npm audit fix
- 如果当前依赖版本无法完成，请先说明原因，不要自行升级

四、使用建议

依赖升级应该单独做任务，并配合 changelog、回归测试与回滚方案。