文章指出，软件的规范源码应该包含所有依赖项内容的校验和，并列举了几个例子：源码管理应该使用类似Git的内容寻址版本控制系统；第三方库的依赖关系应该使用包含校验和的锁文件管理；编译器的哈希值也应该包含在锁文件中，以便验证编译器的可靠性。作者认为，校验和本身并不重要，重要的是获取校验和的过程能够促使开发者明确依赖项、自动化下载依赖项、确保依赖项构建的可重复性以及隔离项目依赖项，最终使得软件开发变得更容易。