前端依赖安全升级助手

解决什么问题

前端依赖升级最贵的一步通常不是安装本身，而是升级后才发现类型错误、ESM/CJS 兼容问题、peer dependency 冲突、lockfile 不一致或 CI 回归。它适合处理安全修复、补丁升级、小版本升级、大版本迁移、框架迁移、构建工具迁移和依赖清理，目标是把升级变成可复核的工程任务。

核心工作方式

• 建立事实基线：读取 package manager、lockfile、Node 版本、workspace 范围、CI 命令和当前验证状态。
• 分类升级目标：区分安全修复、补丁/小版本升级、大版本迁移、框架迁移、构建工具迁移和依赖清理。
• 查证来源：对版本敏感的库查看 release notes、migration guide、peer dependency、Node/browser 支持和弃用项。
• 拆小批次验证：安全补丁可以集中处理；大版本、构建工具、框架和测试工具必须单独批次验证。
• 检查兼容边界：覆盖 ESM/CJS、TypeScript 类型、CSS 处理、SSR/RSC、插件 API、peer dependency 和 polyfill 变化。
• 运行验证矩阵：至少覆盖 install、typecheck、unit/component tests、build；关键应用补充 E2E、Storybook 或手工冒烟。
• 同步文档：记录升级原因、版本、破坏性变更、迁移命令、回滚方式和仍需人工验证的路径。

输出与边界

最终输出升级清单、风险分类、来源依据、批次策略、修改范围、验证命令、失败处理和回滚建议。它不会在缺少来源和验证时做大版本连跳，不会为了消除 audit 警告盲目升级运行时关键包，不会手工编辑 lockfile 规避冲突，也不会把依赖升级和无关重构混在一个批次。