Короткий ответ - да, вам нужно перестроить свою оснастку, если вам нужно обновить зависимость. Однако здесь есть и более длинный ответ.
Допустим, у вас есть приложение, использующее SSL (может быть встроенное программное обеспечение или полноценный веб-сайт, использующий Apache). Вы проводите свои исследования и используете специальный обмен ключами и симметричные алгоритмы. Теперь предположим, что в SSL была обнаружена уязвимость безопасности, и была выпущена новая версия. Тот факт, что это исправление безопасности, не означает, что исправленная уязвимость была в одном из используемых вами алгоритмов. Что если это не так? Что если, исправив эту уязвимость в алгоритме, который вы не использовали, что-то, что вы сделалииспользование было сломано или скомпрометировано (случилось со мной недавно с PHP)? Если вы связываете его, вы можете позвонить и узнать, нужно ли вам обновляться в зависимости от использования. Вы также можете тщательно протестировать его, прежде чем распространять его среди всех своих пользователей. Также существует вероятность того, что на дистрибутив, на который вы ориентируетесь, есть другая версия SSL, которая не работает с вашим программным обеспечением, поскольку объединение его в оснастку обеспечивает общий опыт работы на разных платформах.
Определенно существует компромисс между преимуществами совместного использования зависимостей и преимуществами их объединения.