什么时候该跳过依赖冷却期：21 个安全公告的那一天

📋 概述

11 月 4 日 Rails 发布 8.0.5.2 与 8.1.4.1，修掉 21 个安全公告，其中一个是 critical。但作者手上的两个项目都在 Gemfile 里设了 14 天的 Bundler 冷却期，规则是跳过刚发布的版本——安全修复恰恰是最新的。同周 Trilogy 六天前修了 critical SQL 注入，Crass 十天内累积五个公告。文章讲他们怎么当天打完补丁、安全旁路在哪里漏风，以及为什么 Dependabot 从来没为 Rails 开过 PR。