I have a library where I defined dependency as
crypto-bigint = { version = "<= 0.7.0-rc.9", default-features = false, optional = true }
(I wanted to exclude 0.7.0-rc.10 that breaks the build)
This is being resolved to 0.7.0-rc.9 as expected.
However, when I reference this library from other project, this (now transitive) dependency resolves to 0.6.1.
Why would that be?
Thanks!
Would you mind pasting the cargo tree output from your project here?
Sure:
zinc-piop v0.1.0 (/home/fs/code/zinc-plus/piop)
├── ark-std v0.5.0
│ ├── num-traits v0.2.19
│ │ [build-dependencies]
│ │ └── autocfg v1.5.0
│ └── rand v0.8.5
│ ├── rand_chacha v0.3.1
│ │ ├── ppv-lite86 v0.2.21
│ │ │ └── zerocopy v0.8.31
│ │ │ └── zerocopy-derive v0.8.31 (proc-macro)
│ │ │ ├── proc-macro2 v1.0.103
│ │ │ │ └── unicode-ident v1.0.22
│ │ │ ├── quote v1.0.42
│ │ │ │ └── proc-macro2 v1.0.103 (*)
│ │ │ └── syn v2.0.111
│ │ │ ├── proc-macro2 v1.0.103 (*)
│ │ │ ├── quote v1.0.42 (*)
│ │ │ └── unicode-ident v1.0.22
│ │ └── rand_core v0.6.4
│ └── rand_core v0.6.4
├── crypto-primitives v0.1.0 (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd)
│ ├── ark-ff v0.5.0
│ │ ├── ark-ff-asm v0.5.0 (proc-macro)
│ │ │ ├── quote v1.0.42 (*)
│ │ │ └── syn v2.0.111 (*)
│ │ ├── ark-ff-macros v0.5.0 (proc-macro)
│ │ │ ├── num-bigint v0.4.6
│ │ │ │ ├── num-integer v0.1.46
│ │ │ │ │ └── num-traits v0.2.19
│ │ │ │ │ [build-dependencies]
│ │ │ │ │ └── autocfg v1.5.0
│ │ │ │ └── num-traits v0.2.19 (*)
│ │ │ ├── num-traits v0.2.19 (*)
│ │ │ ├── proc-macro2 v1.0.103 (*)
│ │ │ ├── quote v1.0.42 (*)
│ │ │ └── syn v2.0.111 (*)
│ │ ├── ark-serialize v0.5.0
│ │ │ ├── ark-serialize-derive v0.5.0 (proc-macro)
│ │ │ │ ├── proc-macro2 v1.0.103 (*)
│ │ │ │ ├── quote v1.0.42 (*)
│ │ │ │ └── syn v2.0.111 (*)
│ │ │ ├── ark-std v0.5.0 (*)
│ │ │ ├── arrayvec v0.7.6
│ │ │ ├── digest v0.10.7
│ │ │ │ ├── block-buffer v0.10.4
│ │ │ │ │ └── generic-array v0.14.7
│ │ │ │ │ └── typenum v1.19.0
│ │ │ │ │ [build-dependencies]
│ │ │ │ │ └── version_check v0.9.5
│ │ │ │ └── crypto-common v0.1.7
│ │ │ │ ├── generic-array v0.14.7 (*)
│ │ │ │ └── typenum v1.19.0
│ │ │ └── num-bigint v0.4.6 (*)
│ │ ├── ark-std v0.5.0 (*)
│ │ ├── arrayvec v0.7.6
│ │ ├── digest v0.10.7 (*)
│ │ ├── educe v0.6.0 (proc-macro)
│ │ │ ├── enum-ordinalize v4.3.2
│ │ │ │ └── enum-ordinalize-derive v4.3.2 (proc-macro)
│ │ │ │ ├── proc-macro2 v1.0.103 (*)
│ │ │ │ ├── quote v1.0.42 (*)
│ │ │ │ └── syn v2.0.111 (*)
│ │ │ ├── proc-macro2 v1.0.103 (*)
│ │ │ ├── quote v1.0.42 (*)
│ │ │ └── syn v2.0.111 (*)
│ │ ├── itertools v0.13.0
│ │ │ └── either v1.15.0
│ │ ├── num-bigint v0.4.6 (*)
│ │ ├── num-traits v0.2.19 (*)
│ │ ├── paste v1.0.15 (proc-macro)
│ │ └── zeroize v1.8.2
│ │ └── zeroize_derive v1.4.2 (proc-macro)
│ │ ├── proc-macro2 v1.0.103 (*)
│ │ ├── quote v1.0.42 (*)
│ │ └── syn v2.0.111 (*)
│ ├── ark-std v0.5.0 (*)
│ ├── crypto-bigint v0.6.1
│ │ ├── num-traits v0.2.19 (*)
│ │ ├── rand_core v0.6.4
│ │ ├── serdect v0.3.0
│ │ │ ├── base16ct v0.2.0
│ │ │ └── serde v1.0.228
│ │ │ ├── serde_core v1.0.228
│ │ │ └── serde_derive v1.0.228 (proc-macro)
│ │ │ ├── proc-macro2 v1.0.103 (*)
│ │ │ ├── quote v1.0.42 (*)
│ │ │ └── syn v2.0.111 (*)
│ │ └── subtle v2.6.1
│ ├── crypto-primitives-proc-macros v0.1.0 (proc-macro) (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd)
│ │ ├── proc-macro2 v1.0.103 (*)
│ │ ├── quote v1.0.42 (*)
│ │ └── syn v2.0.111 (*)
│ ├── num-traits v0.2.19 (*)
│ ├── pastey v0.2.1 (proc-macro)
│ ├── rand v0.9.2
│ │ ├── rand_chacha v0.9.0
│ │ │ ├── ppv-lite86 v0.2.21 (*)
│ │ │ └── rand_core v0.9.3
│ │ │ └── getrandom v0.3.4
│ │ │ ├── cfg-if v1.0.4
│ │ │ └── libc v0.2.178
│ │ └── rand_core v0.9.3 (*)
│ ├── serde v1.0.228 (*)
│ ├── thiserror v2.0.17
│ │ └── thiserror-impl v2.0.17 (proc-macro)
│ │ ├── proc-macro2 v1.0.103 (*)
│ │ ├── quote v1.0.42 (*)
│ │ └── syn v2.0.111 (*)
│ └── zeroize v1.8.2 (*)
├── num-traits v0.2.19 (*)
├── thiserror v2.0.17 (*)
├── zinc-poly v0.1.0 (/home/fs/code/zinc-plus/poly)
│ ├── ark-std v0.5.0 (*)
│ ├── crypto-bigint v0.7.0-rc.10
│ │ ├── num-traits v0.2.19 (*)
│ │ ├── rand_core v0.10.0-rc-3
│ │ ├── subtle v2.6.1
│ │ └── zeroize v1.8.2 (*)
│ ├── crypto-primitives v0.1.0 (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd) (*)
│ ├── displaydoc v0.2.5 (proc-macro)
│ │ ├── proc-macro2 v1.0.103 (*)
│ │ ├── quote v1.0.42 (*)
│ │ └── syn v2.0.111 (*)
│ ├── itertools v0.14.0
│ │ └── either v1.15.0
│ ├── num-traits v0.2.19 (*)
│ ├── rand v0.9.2 (*)
│ ├── rand_core v0.9.3 (*)
│ ├── thiserror v2.0.17 (*)
│ ├── zinc-transcript v0.1.0 (/home/fs/code/zinc-plus/transcript)
│ │ ├── crypto-bigint v0.7.0-rc.10 (*)
│ │ ├── crypto-primitives v0.1.0 (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd) (*)
│ │ ├── itertools v0.14.0 (*)
│ │ ├── num-traits v0.2.19 (*)
│ │ ├── sha3 v0.10.8
│ │ │ ├── digest v0.10.7 (*)
│ │ │ └── keccak v0.1.5
│ │ │ └── cpufeatures v0.2.17
│ │ │ └── libc v0.2.178
│ │ └── zinc-primality v0.1.0 (/home/fs/code/zinc-plus/primality)
│ │ ├── crypto-bigint v0.7.0-rc.10 (*)
│ │ ├── crypto-primes v0.7.0-pre.3
│ │ │ ├── crypto-bigint v0.7.0-rc.10 (*)
│ │ │ ├── libm v0.2.15
│ │ │ └── rand_core v0.9.3 (*)
│ │ └── crypto-primitives v0.1.0 (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd) (*)
│ └── zinc-utils v0.1.0 (/home/fs/code/zinc-plus/utils)
│ ├── crypto-bigint v0.7.0-rc.10 (*)
│ ├── crypto-primitives v0.1.0 (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd) (*)
│ ├── num-traits v0.2.19 (*)
│ └── thiserror v2.0.17 (*)
│ [dev-dependencies]
│ └── proptest v1.9.0
│ ├── bit-set v0.8.0
│ │ └── bit-vec v0.8.0
│ ├── bit-vec v0.8.0
│ ├── bitflags v2.10.0
│ ├── num-traits v0.2.19 (*)
│ ├── rand v0.9.2 (*)
│ ├── rand_chacha v0.9.0 (*)
│ ├── rand_xorshift v0.4.0
│ │ └── rand_core v0.9.3 (*)
│ ├── regex-syntax v0.8.8
│ ├── rusty-fork v0.3.1
│ │ ├── fnv v1.0.7
│ │ ├── quick-error v1.2.3
│ │ ├── tempfile v3.24.0
│ │ │ ├── fastrand v2.3.0
│ │ │ ├── getrandom v0.3.4 (*)
│ │ │ ├── once_cell v1.21.3
│ │ │ └── rustix v1.1.3
│ │ │ ├── bitflags v2.10.0
│ │ │ └── linux-raw-sys v0.11.0
│ │ └── wait-timeout v0.2.1
│ │ └── libc v0.2.178
│ ├── tempfile v3.24.0 (*)
│ └── unarray v0.1.4
│ [dev-dependencies]
│ ├── criterion v0.7.0
│ │ ├── anes v0.1.6
│ │ ├── cast v0.3.0
│ │ ├── ciborium v0.2.2
│ │ │ ├── ciborium-io v0.2.2
│ │ │ ├── ciborium-ll v0.2.2
│ │ │ │ ├── ciborium-io v0.2.2
│ │ │ │ └── half v2.7.1
│ │ │ │ ├── cfg-if v1.0.4
│ │ │ │ └── zerocopy v0.8.31 (*)
│ │ │ └── serde v1.0.228 (*)
│ │ ├── clap v4.5.53
│ │ │ └── clap_builder v4.5.53
│ │ │ ├── anstyle v1.0.13
│ │ │ └── clap_lex v0.7.6
│ │ ├── criterion-plot v0.6.0
│ │ │ ├── cast v0.3.0
│ │ │ └── itertools v0.13.0 (*)
│ │ ├── itertools v0.13.0 (*)
│ │ ├── num-traits v0.2.19 (*)
│ │ ├── oorandom v11.1.5
│ │ ├── plotters v0.3.7
│ │ │ ├── num-traits v0.2.19 (*)
│ │ │ ├── plotters-backend v0.3.7
│ │ │ └── plotters-svg v0.3.7
│ │ │ └── plotters-backend v0.3.7
│ │ ├── rayon v1.11.0
│ │ │ ├── either v1.15.0
│ │ │ └── rayon-core v1.13.0
│ │ │ ├── crossbeam-deque v0.8.6
│ │ │ │ ├── crossbeam-epoch v0.9.18
│ │ │ │ │ └── crossbeam-utils v0.8.21
│ │ │ │ └── crossbeam-utils v0.8.21
│ │ │ └── crossbeam-utils v0.8.21
│ │ ├── regex v1.12.2
│ │ │ ├── regex-automata v0.4.13
│ │ │ │ └── regex-syntax v0.8.8
│ │ │ └── regex-syntax v0.8.8
│ │ ├── serde v1.0.228 (*)
│ │ ├── serde_json v1.0.147
│ │ │ ├── itoa v1.0.16
│ │ │ ├── memchr v2.7.6
│ │ │ ├── serde_core v1.0.228
│ │ │ └── zmij v0.1.8
│ │ ├── tinytemplate v1.2.1
│ │ │ ├── serde v1.0.228 (*)
│ │ │ └── serde_json v1.0.147 (*)
│ │ └── walkdir v2.5.0
│ │ └── same-file v1.0.6
│ └── proptest v1.9.0 (*)
├── zinc-transcript v0.1.0 (/home/fs/code/zinc-plus/transcript) (*)
└── zinc-utils v0.1.0 (/home/fs/code/zinc-plus/utils) (*)
[dev-dependencies]
├── crypto-bigint v0.7.0-rc.10 (*)
├── itertools v0.14.0 (*)
└── rand v0.9.2 (*)
zinc-poly v0.1.0 (/home/fs/code/zinc-plus/poly) (*)
zinc-primality v0.1.0 (/home/fs/code/zinc-plus/primality) (*)
zinc-transcript v0.1.0 (/home/fs/code/zinc-plus/transcript) (*)
zinc-utils v0.1.0 (/home/fs/code/zinc-plus/utils) (*)
zip-plus v0.1.0 (/home/fs/code/zinc-plus/zip-plus)
├── ark-ff v0.5.0 (*)
├── ark-poly v0.5.0
│ ├── ahash v0.8.12
│ │ ├── cfg-if v1.0.4
│ │ ├── once_cell v1.21.3
│ │ └── zerocopy v0.8.31 (*)
│ │ [build-dependencies]
│ │ └── version_check v0.9.5
│ ├── ark-ff v0.5.0 (*)
│ ├── ark-serialize v0.5.0 (*)
│ ├── ark-std v0.5.0 (*)
│ ├── educe v0.6.0 (proc-macro) (*)
│ └── hashbrown v0.15.5
│ └── allocator-api2 v0.2.21
├── ark-std v0.5.0 (*)
├── blake3 v1.8.2
│ ├── arrayref v0.3.9
│ ├── arrayvec v0.7.6
│ ├── cfg-if v1.0.4
│ └── constant_time_eq v0.3.1
│ [build-dependencies]
│ └── cc v1.2.50
│ ├── find-msvc-tools v0.1.5
│ └── shlex v1.3.0
├── crypto-bigint v0.7.0-rc.10 (*)
├── crypto-primitives v0.1.0 (https://github.com/NethermindEth/crypto-primitives.git?rev=4d25cfd#4d25cfdd) (*)
├── itertools v0.14.0 (*)
├── num-traits v0.2.19 (*)
├── rand v0.9.2 (*)
├── rand_core v0.9.3 (*)
├── thiserror v2.0.17 (*)
├── uninit v0.6.2
├── zinc-poly v0.1.0 (/home/fs/code/zinc-plus/poly) (*)
├── zinc-primality v0.1.0 (/home/fs/code/zinc-plus/primality) (*)
├── zinc-transcript v0.1.0 (/home/fs/code/zinc-plus/transcript) (*)
└── zinc-utils v0.1.0 (/home/fs/code/zinc-plus/utils) (*)
[dev-dependencies]
├── criterion v0.7.0 (*)
└── proptest v1.9.0 (
This crypto-primitives is the library in question
Interesting. Maybe try cargo cleaning your project? I've never seen a <= dependency declaration with pre-releases, but I can't imagine Cargo treating 0.6.1 to be compatible with a <= 0.7.0-rc.9 declaration.
AFAIK <= 0.7.0-rc.9 will be considered compatible with all versions up to 0.7.0-rc.9 irrespective of major or minor version. Try >= 0.7.0-rc.0, <= 0.7.0-rc.9.
Yeah, it does make sense that 0.6.1 is compatible with <= 0.7.0-rc.9, and I should've declared it as >= 0.7.0-rc.0, <= 0.7.0-rc.9 to begin with (since my code is not compatible with 0.6)
I'm still curious why Cargo chooses 0.6.1 for <= 0.7.0-rc.9 bound though, given that it picks 0.7.0-rc.9 when compiling the library standalone. cargo clean does not change this.
Is there a way to trace the logic of picking a certain version?
The resolver is coarsely documented here:
and the entry point of the source code of the resolver can be found here:
The resolver is a terribly complex peace of logic though. My guess as to why 0.6.1 was chosen would be because Cargo de-duplicated dependencies or because 0.7.0-rc.9 and 0.7.0-rc.10 (the latter being used by some other dependencies of yours) are unresolvable together.
Thank you so much for this insight!