必须严格区分devDependencies和dependencies：运行时必需包（如react、axios）写入dependencies，开发专用包（如webpack、eslint）写入devDependencies；错误归类会导致线上体积膨胀或运行时报错。
依赖声明必须严格区分 devDependencies 和 dependencies
生产环境运行必需的包（如 react、axios、lodash）写入 dependencies；仅用于开发、构建、测试的包（如 webpack、eslint、jest、@types/react）必须放入 devDependencies。错误归类会导致线上体积膨胀或运行时报错——例如把 typescript 放进 dependencies，CI 构建时可能因缺失全局 TS 环境而失败；又或者漏掉 @types/xxx，导致本地开发类型检查失效但 CI 未报错。
统一使用 npm install --save-prod / --save-dev，禁用简写
团队应约定不使用 npm i xxx 这类无标志安装，强制显式声明用途：
- npm install lodash --save-prod（等价于 --save，明确加入 dependencies）
- npm install eslint --save-dev（明确加入 devDependencies）
- CI 脚本中统一使用 npm ci 安装，确保依赖树与 package-lock.json 100% 一致，避免 npm install 引入隐式升级
锁定大版本 + 审慎升级，建立依赖审计机制
默认采用 ^（如 "lodash": "^4.17.21"）允许补丁和次版本自动更新，但需满足两个前提：
使用约定式提交（Conventional Commits）生成标准化的 Git 提交信息。适用于以下场景： (1) 暂存更改时需要提交信息； (2) 审查 diff 时希望获得结构化摘要； (3) 编写 PR 描述或变更日志（changelog）条目； (4) 用户明确要求“为本次更改编写提交信息”。 该功能会分析已暂存/未暂存的 diff，并生成按类型（type）划分范围的提交信息。
- 所有直接依赖的 major 版本在 package.json 中人工确认过兼容性（例如从 axios@0.x 升到 1.x 必须全量回归）
- 每周执行一次 npm audit --audit-level=moderate，高危漏洞（high/critical）必须 24 小时内修复；中危漏洞（moderate）纳入迭代计划并记录原因
- 对核心基础库（如 react、vue、webpack）建立 VERSION_POLICY.md 文档，明确支持周期与升级节奏
禁止直接修改 node_modules 或 package-lock.json
node_modules 是纯生成目录，任何手动改动都会被下次安装覆盖，且无法追踪；package-lock.json 必须由 npm 自动更新——新增/删减依赖后，只运行 npm install 或 npm rm xxx，然后提交生成的 lock 文件。团队需配置 .gitignore 确保不遗漏，并在 PR 检查中加入 lock 文件变更比对（例如检查是否出现意外的子依赖版本漂移）。
私有包与内部 SDK 需走统一注册源 + 别名管理
公司级工具库、组件库、API SDK 应发布至私有 registry（如 Verdaccio 或 Nexus），并在 .npmrc 中配置：
- @company:registry=https://npm.company.com/
- always-auth=true
引用时使用作用域包名（如 @company/ui-kit、@company/api-client），避免硬编码路径或相对引用。版本策略推荐 固定 minor + patch 自动更新（如 "@company/ui-kit": "2.3.x"），重大变更通过新 major 版本隔离。
