依赖更新可以做到自动化的，比如github 有这个功能

程序员与项目经理并不是上下级关系，产品经理负责定义产品的功能，程序员保证产品的性能，正确实现和安全，这些特性同样重要，甚至我认为正确性，性能和安全要比产品功能更重要。

但如果产品经理认为产品功能比性能，正确和安全重要，我看只有一种情况，这个产品严格来说还不是产品，因为没有用户，还没上线。

最理想的就是一直更新，这样出现问题可以马上处理，也可以获得安全和功能上的收益。

但实际上，程序员每天的开发任务可能不掌握在自己手里，而是由产品经理安排。从产品经理角度，升级依赖没有开发新功能来得重要，有 bug 就程序员自己安排时间修（不关他事）。从程序员角度，升级依赖跟自己绩效不挂钩，做得好也没人知道，还不如多开发几个新功能，将来遇到 bug 或者更新困难，维护的人也不一定是自己。这样下来就不断累积屎山代码……

能及时更新依赖的，我觉得只有开源项目了，因为更新是否及时关系到项目的质量、声誉和存在价值。