依赖升级前需构建“依赖变更账本”：先生成 before-snapshot.txt 和 lock 文件快照；明确版本号、升级原因及入口文件；再通过自动或手动方式执行升级并比对差异；最后验证源码改动、import 引用及最小化测试集。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你想在升级某个依赖前，准确知道它会牵连哪些文件改动、触发哪些测试失败、是否引入不兼容的传递依赖——而不是等 CI 报错才去翻日志。Codex 本身不自动做影响分析，但可以通过构建“依赖变更账本”+轻量差异检查器，把影响范围显性化、可审查、可回溯。
第一步：生成当前依赖快照
打开终端，进入项目根目录，执行：npm ls --depth=0 > before-snapshot.txt（Node.js 项目）或 pip freeze > before-snapshot.txt（Python 项目）。这一步必须在修改任何依赖前完成，【before-snapshot.txt 是后续比对的唯一基准】。
如果项目使用 lock 文件（如 package-lock.json 或 poetry.lock），直接复制一份命名为 before-lock.json。不要只靠命令行输出，lock 文件包含精确版本、校验和与平台标记，缺失它会导致漏判间接依赖变化。
第二步：明确升级目标与边界
不要写“升级到最新版”。在 prompt 或任务备注中，必须写清三项内容：当前版本号（如 demo-parser@2.1.4）、目标版本号（如 demo-parser@3.0.2）、升级原因（如“修复 CVE-2026-XXXXX 中的 XML 外部实体注入”）。
目标版本号必须查该库的官方 CHANGELOG 或 Releases 页面确认，【不能从 npm show demo-parser versions 最后一行直接抄】，因为部分版本可能被 yanked 或仅限特定 Node 版本。
依托用户知识库、工作记录、项目文件、会议纪要、表格、图片、文稿及评审材料生成高质量职场汇报演示文稿。适用于试用期考核、转正述职、晋升答辩、年度总结、项目进度汇报、项目评审、方案说服、资源申请、部门规划、业务优化或管理决策类 PPT 制作；Codex 需先明确汇报目标、提取佐证材料、生成规范说明书、适配汇报时长、搭建内容大纲、设计每页幻灯片内容，最后生成附带讲稿与佐证材料核对清单的 PPTX 文件。
入口文件也要标注，例如“本次变更仅影响 src/parser/entry.ts 及其直接调用链”，这样 Codex 在后续分析时才不会无限制展开依赖图。
第三步：执行升级并捕获连带变化
方法一：用 Codex 自动执行（需开启 Computer Use 插件）
在 Codex 对话中输入：“按以下目标升级依赖：demo-parser 从 2.1.4 → 3.0.2；只允许更新其直接依赖和新增的传递依赖；跳过所有其他包。执行后生成 diff 列表。”→ Codex 将调用 npm install demo-parser@3.0.2 → 自动对比 node_modules/demo-parser/package.json 与旧版差异 → 提取 dependencies/devDependencies 字段变动 → 输出新增/移除的传递依赖名。
方法二：手动升级 + Codex 辅助审查
先运行 npm install demo-parser@3.0.2 → 立即执行 npm ls demo-parser --depth=3 > after-deps-tree.txt → 把 before-snapshot.txt 和 after-deps-tree.txt 一起丢给 Codex，指令为：“逐行比对两个文件，标出所有新增的包名及其首次出现的层级，并说明该包是否在 before-snapshot.txt 中存在。”
第四步：验证影响范围
① 找出被修改的源码文件：运行 git status --porcelain | grep -E "\.(ts|js|py)$"，提取所有因依赖升级而触发重编译或格式变动的文件路径。
② 检查这些文件是否含目标依赖的 import/require 语句：Codex 加载上述路径列表 → 对每个文件执行静态扫描 → 标出所有 import { parse } from 'demo-parser' 类引用 → 若某文件未引用但被标记为“已变更”，则说明是类型定义或构建产物污染，需人工排除。
③ 运行最小化测试集：只执行覆盖目标依赖调用路径的测试文件，命令形如 npm test -- --testPathPattern=parser.*test。Codex 不会替你写测试，但它能根据 import 路径自动推导出应跑哪些测试文件。
这一步操作起来很简单，直接把文件拖进去就行。但注意：如果测试框架用了 require.cache 清理机制，某些 mock 行为可能失效，导致误报“测试通过”——此时必须加 --runInBand 参数强制串行执行。
