依赖锁定文件更新：如何区分安全修复与版本漂移

语言升级常会触发锁定文件重写。若不审查，工具行为变化可能与大规模依赖漂移混在一起。

把变更拆成两个提交

先固定原有解析结果完成运行时或编译器升级，再单独更新依赖。这样失败时能清楚判断是兼容性变化还是包升级所致。

关注间接依赖和平台包

审查新增、删除和跨平台二进制包，并在 CI 做干净安装。Node 项目可进一步查看 Node.js 长期支持迁移的锁定文件与原生模块检查。