依赖升级风险清单

要解决的问题

单个依赖从 17 升到 18，看似只是改版本号，但真正要确认的是：API 是否破坏、传递依赖是否冲突、构建和类型检查是否还能过、运行时行为是否变化。信息不全时，很多团队会把 warning 当故障，或者把没有锁文件当成没有风险。

如何工作

技能把用户提供的包名、版本跨度、changelog、迁移指南和依赖树摘要收成参谋清单：

• 升级范围：包、当前→目标版本、major/minor/patch
• 风险分桶：破坏性 API、传递依赖、构建/类型、运行时行为、安全 advisory
• 验证项：可勾选、由人在本地或 CI 执行
• 回滚条件：触发现象与恢复到 lockfile 或版本号

传递依赖部分会检查版本区间、多版本共存和幽灵依赖，并要求缺证据时标 未知，不写无风险。

边界与注意点

它不修改仓库、不执行安装或构建、不访问实时包元数据，也不虚构 CVE。适合升级前对齐风险和准备评审说明；不适合自动改 package.json、自动提 PR 或全量漏洞扫描。