Коротка відповідь - так, вам потрібно буде відновити своє оснащення, якщо вам потрібно оновити залежність. Однак і тут є довша відповідь.
Скажімо, у вас є програма, яка використовує SSL (це може бути якесь вбудоване програмне забезпечення або повноцінний веб-сайт, що використовує Apache). Ви проводите свої дослідження та використовуєте конкретні алгоритми обміну ключами та симетричні. Тепер скажімо, що в SSL була виявлена вразливість безпеки, і випущена нова версія. Тільки тому, що випуск безпеки не означає, що виправлена вразливість була в одному з алгоритмів, які ви використовували. Що робити, якщо цього не було? Що робити, якщо, зробивши виправлення цієї вразливості в алгоритмі, який ви не використовували, щось зробиливикористання було порушено або порушено (траплялося зі мною нещодавно з PHP)? Якщо ви його з'єднуєте, ви можете зателефонувати про те, чи потрібно оновити оновлення на основі використання. Ви також можете протестувати його перед тим, як розгорнути їх усім своїм користувачам. Існує також можливість, що дистрибутив, на який ви націлюєтесь, має іншу версію SSL, яка не працює з вашим програмним забезпеченням, і при їх пакетному оснащенні можливий загальний досвід роботи на різних платформах.
Очевидно, що між вигодами спільного використання залежностей та вигодами їх поєднання існує розминка.