语义化版本管理需理解MAJOR.MINOR.PATCH含义，合理使用^、~、=、*范围符号，并依赖package-lock.json锁定确切版本以保障一致性。
处理 package.json 中的语义化版本，核心是理解版本号含义、合理选用范围符号，并配合锁文件保障一致性。
看懂版本号：MAJOR.MINOR.PATCH 的真实含义
每个依赖版本如 "react": "18.2.0" 都遵循语义化版本（SemVer）三段式规则：
-
MAJOR（主版本）：不兼容变更，比如 API 删除或签名改动。升级需人工验证，例如
17.x → 18.0 -
MINOR（次版本）：新增功能但保持向下兼容，可安全更新，例如
18.1.0 → 18.2.0 -
PATCH（修订版）：仅修复 bug 或微调，最安全的更新，例如
18.2.0 → 18.2.1
选对版本范围符号：^、~、=、* 的实际影响
在 dependencies 或 devDependencies 中，符号决定 npm 能装哪些版本：
-
"lodash": "^4.17.21"→ 允许安装4.17.21到<5.0.0的任意版本（含 MINOR 和 PATCH 更新） -
"axios": "~1.6.7"→ 只允许1.6.7到<1.7.0的版本（仅 PATCH 更新） -
"debug": "4.3.4"（无符号）→ 锁死精确版本，等价于="4.3.4" -
"moment": "*"→ 接受最新发布版，风险极高，生产环境应避免
靠 package-lock.json 固定实际安装结果
package.json 只声明“允许范围”，真正决定装哪个版本的是 package-lock.json：
立即学习“Java免费学习笔记（深入）”；
- 它记录了每个依赖（包括嵌套依赖）的**确切版本、完整 URL 和完整性校验值（integrity）**
- 只要该文件存在且未被删改，
npm install就会严格复现相同依赖树 - 必须提交到 Git —— 否则不同人、CI 环境、部署服务器可能装出不同版本，引发隐性 bug
更新依赖时保持可控节奏
不要盲目 npm update 或 npm install xxx@latest：
- 用
npm outdated查看哪些包有新版本、是否在允许范围内 - 用
npm update lodash只更新单个包到符合package.json范围的最新版，并同步更新package-lock.json - 升级 MAJOR 版本前，建议手动修改
package.json并运行完整测试，而非依赖自动更新
