Gemfile.lock è il file di lock di Bundler per un progetto Ruby. Registra le versioni esatte delle gemme, e spesso il loro albero di dipendenze risolto, che erano installate quando l'applicazione è stata aggiornata l'ultima volta. Questo rende le build riproducibili: sviluppatori, sistemi CI e host di produzione possono installare lo stesso insieme di dipendenze invece di risolvere ogni volta versioni più recenti.
Nella sicurezza informatica, questa stabilità è una difesa contro la deriva della supply chain. Se un attaccante pubblica una gemma malevola o compromette una dipendenza, un file di lock fissato può impedire un aggiornamento automatico alla versione dannosa. I team di sicurezza lo usano anche per verificare le modifiche, confrontare gli aggiornamenti delle dipendenze e rilevare cambiamenti inattesi nei pacchetti. Tuttavia, un file di lock non garantisce la sicurezza: congela solo ciò che è stato scelto, quindi i team hanno comunque bisogno di revisione del codice, scansione delle dipendenze e fonti attendibili. In pratica, Gemfile.lock è uno dei modi più semplici per ridurre le sorprese nelle build Ruby e rendere più difficile che attacchi legati ai pacchetti passino inosservati.