Dependencies should be fetched directly from VCS

arp242 讨论依赖是否应直接从 VCS 获取，把包分发问题重新拉回源码、commit、tag 和签名。直接引用 VCS 的优势是可追溯性强，审计者能看到依赖来自哪个提交；代价是解析、缓存、镜像、可用性和生态治理会更难。它适合供应链安全讨论，因为中心化 registry 的便利和源码级可验证性本来就存在张力。