依赖升级

问题从哪来

主版本升级、安全 CVE、遗留包现代化，往往卡在不兼容变更、peer 依赖冲突和「一次升完」导致的不可控回归。团队还需要在 CI 里持续收到 Dependabot/Renovate 的 PR，却缺少可复用的审查与验证套路。

技能如何组织工作

本技能把依赖升级拆成可执行链路，而不是泛泛的「更新 package.json」：

• 语义化版本审查：结合 references/semver.md 与 changelog，判断升级风险等级
• 依赖分析：审计依赖树、锁文件与 workspace 边界，识别冲突来源
• 兼容性矩阵：用 assets/compatibility-matrix.csv 与 references/compatibility-matrix.md 对照常见 breakage
• 分阶段策略：规划 → 增量更新 → 验证（见 references/staged-upgrades.md）
• 不兼容变更处理：识别 breaking changes，必要时走 Codemod 或自定义迁移脚本
• 测试策略：单元、集成、视觉回归与 E2E（references/testing-strategy.md）
• 自动化：Renovate / Dependabot 配置与回滚计划

操作指引强调：先明确目标、约束与输入，再按最佳实践执行并给出可验证步骤；细节示例在 resources/implementation-playbook.md，分步清单在 assets/upgrade-checklist.md，审计可用 scripts/audit-dependencies.sh。

适用边界与常见坑

不适用：任务与依赖升级无关，或必须依赖本技能范围外的其他领域/工具。

适用：框架主版本升级、安全漏洞依赖、遗留现代化、冲突解析、渐进路径与兼容性矩阵测试、自动化依赖更新。

常见陷阱包括：一次性升全部依赖、每次升级后不测、忽略 peer 警告、不更新锁文件、不读不兼容说明、随意跳主版本、没有回滚计划。最佳实践里还强调：每次只升一个主版本、尽早处理 peer、升级后监控运行时错误并保留升级笔记。