减少CI/CD依赖的核心是增强确定性、隔离性与轻量性：按分支分仓、锁定依赖禁动态更新、分阶段裁剪范围、用依赖图驱动增量构建。
减少CI/CD流水线中的依赖，核心不是“少装几个包”，而是让每个环节的输入更确定、输出更隔离、执行更轻量。关键在于切断隐式耦合，把“需要什么”显式声明出来，把“用完即弃”变成默认行为。
按分支分仓，避免跨分支污染
多个功能分支并行开发时，若共用同一构建缓存或依赖目录，极易因版本错位导致打包失败或行为异常。推荐做法是：为每个分支创建独立工作空间，命名格式如 feature/login-microservice；拉取该分支对应的所有子项目源码（而非仅当前仓库），再动态生成聚合型 pom.xml 或 workspace.json，确保所有依赖都来自本地已检出代码。这样既绕过远程仓库拉取，又杜绝了“A分支改了公共模块，B分支未同步就打包”的问题。
锁定依赖+禁用动态更新
CI中永远不执行 npm install、composer update 或 pip-compile --upgrade 这类命令。所有依赖必须由开发阶段生成的锁文件（package-lock.json、composer.lock、poetry.lock）严格约束。CI脚本只运行 npm ci、composer install --no-interaction --no-dev 或 poetry install --no-dev，并校验锁文件是否被意外修改——如有变更则立即失败，强制开发者明确提交更新意图。
分阶段裁剪依赖范围
不同阶段对依赖的需求不同，硬性全量安装只会拖慢流程、放大风险：
- 测试阶段：跳过 devDependencies 和非必要工具链（如构建插件、文档生成器），只保留运行测试所需的最小集合
- 构建阶段：启用优化参数，例如 webpack --mode=production --no-devtool、composer install --optimize-autoloader --classmap-authoritative
- 部署阶段：剥离源码、文档、测试文件，仅保留可执行产物和运行时依赖（如 Node.js 的 node_modules 中实际 require 到的部分）
用依赖图驱动增量构建
静态分析代码导入关系，生成模块级依赖图，再结合 Git 变更文件列表，精准识别哪些模块真正受影响。例如：只修改了 src/utils/date.js，就只触发依赖它的组件测试和对应打包任务，跳过其他无关模块的重复构建。工具如 depcheck、madge 或语言原生解析器（如 Go 的 go list -f '{{.Deps}}'）均可支撑这一逻辑，无需全量重跑整个流水线。
