unpkg などの CDN を使うとき バージョンを指定しなければ最新版が使われます
それだと後々動かなくなるかもしれないのでバージョンを固定するために バージョン付きの URL にします
これで大丈夫だろうとは思っていましたが ダメでした

依存モジュールがある場合は 別の URL をインポートすることになりますが それが別のパッケージの場合は package.json のように ^2.4.0 みたいな指定になります
この指定だと互換性がある中での最新版となり 実行するタイミングによってバージョンが変わります
依存パッケージのバージョンは固定できません

通常は互換性があるバージョンなので問題ないはずですが 完全にそうとはいかないです
バグが入り込むケースもあれば マイナーバージョンのアップデートなのに breaking change を起こしているパッケージもあります
そういうことがあるので yarn.lock などの lock ファイルがあり 依存パッケージのバージョンまで固定しているわけです

CDN が最初のアクセス時点で依存パッケージも含めバンドルしてしまい 同じ URL なら依存パッケージも含めて同じになるようにしてくれるといいのですが それだと依存パッケージに修正が入ってもそれが反映されないとかの問題が出そうです
?key=abcd みたいなクエリをつけて key ごとに初回アクセス時にバンドルしてくれれば 更新したいタイミングで key を変えて対応できそうですが多数の key 違いの URL でアクセスされると CDN 側で保持するバンドル数が多すぎて現実的でないです

依存関係も含めて完全に動作確認済みのバージョンで動作させたいのなら CDN は避けたほうがいいのかもですね
ただ Deno って基本は URL 指定なので同じ問題が起きそうな気がします
ローカルにキャッシュされるので同じ環境だと問題ないですが 別環境だとその時点の最新になるはずです
キャッシュの共有が必要になってくるとそれも面倒です

この辺はどうするのがいいのでしょうね