# 利用者のマシンに実際に入るバックエンドのコア依存。
#
# pyproject.toml の dependencies が開発用の下限指定（>=）なのに対し、こちらは
# **配布物の真実**として == で固定する。拡張は初回セットアップ時にこのファイルを
# そのまま pip install -r するので、ここに書いたバージョンが全ユーザの実行環境に
# なる。下限指定のままだと利用者ごとに入るバージョンが変わり、脆弱性報告を受けても
# 影響範囲を確定できないため固定している。
#
# 更新は手で書き換えず、Dependabot（.github/dependabot.yml の pip エントリ）が
# 出す PR で行う。マージしたら拡張の新バージョンとして publish する必要がある
# ——利用者の venv はこのファイルの内容が変わったときだけ作り直される。
#
# 注意: 固定しているのは直接依存だけで、その先の推移的依存は pip の解決任せ
# （＝浮動）。完全に固定するにはハッシュ付きロック（pip-compile --generate-hashes）
# が要るが、Windows/macOS/Linux で解決結果が変わりうる構成なので採用していない。

fastapi==0.139.0
uvicorn==0.51.0
pydantic==2.13.4
httpx==0.28.1
langchain-core==1.4.9
langchain-google-genai==4.2.7
