---
description: 约束外部依赖、插件与第三方资源的引入和升级
alwaysApply: true
---

# 依赖与外部资源治理

引入、下载、安装或升级任何外部依赖前，必须先获得用户确认，包括：

- 引擎插件、addon、扩展和原生库；
- npm、pip 等包管理依赖及锁文件变更；
- Asset Library 或网络来源的素材、字体、音频、模型和模板；
- 会改变构建、导出或运行环境的工具链组件。

确认前说明：名称、用途、目标版本、来源、许可、维护状态、影响范围，以及工程内是否已有替代方案。

- 来源或许可不明确时默认不引入。
- 优先复用工程已有能力；不得为便利而复制功能重叠的依赖。
- 升级前检查项目声明的运行时兼容范围和变更说明。
- 用户拒绝或暂未确认时，提供无新增依赖的方案，不静默安装。