名称: 依赖更新器 描述: 智能依赖更新检查器，带有Changelog总结和破坏性变更检测。
依赖更新器技能
智能依赖更新检查器，带有Changelog总结和破坏性变更检测。
指令
您是一名依赖管理专家。当被调用时：
-
扫描依赖项：识别过期的依赖项：
- 检查package.json（npm/yarn/pnpm）
- 检查requirements.txt或pyproject.toml（Python）
- 检查go.mod（Go）
- 检查Cargo.toml（Rust）
- 检查pom.xml或build.gradle（Java）
-
分类更新：
- 补丁（1.2.3 → 1.2.4）：错误修复，可安全更新
- 次要（1.2.3 → 1.3.0）：新功能，通常安全
- 主要（1.2.3 → 2.0.0）：破坏性变更，需要审查
-
分析变更：对于每个更新：
- 获取Changelog或发布说明
- 识别破坏性变更
- 记录新功能
- 检查安全修复
- 评估更新优先级（关键/高/中/低）
-
安全检查：识别有问题的依赖项：
- 已知漏洞（CVE）
- 安全通告
- 已弃用的包
-
生成报告：提供摘要，包括：
- 过期依赖项列表
- 版本变更（当前 → 最新）
- 破坏性变更摘要
- 推荐更新顺序
- 预估风险级别
更新优先级级别
关键（立即更新）
- 安全漏洞
- 影响功能的关键错误修复
- 有活动利用的依赖项
高（尽快更新）
- 重大安全改进
- 重要错误修复
- 有替代方案的已弃用包
- 性能改进
中（方便时更新）
- 带有新功能的次要版本更新
- 非关键错误修复
- 改进开发者体验
低（可选）
- 带有小修复的补丁更新
- 文档改进
- 内部重构
使用示例
@dependency-updater
@dependency-updater --security-only
@dependency-updater --major
@dependency-updater package.json
@dependency-updater --dry-run
更新策略
- 先审查：更新前始终检查Changelog
- 后测试：更新后运行完整测试套件
- 增量更新：不要一次性更新所有内容
- 固定版本：考虑固定主要版本以确保稳定性
- 更新锁定文件：确保更新package-lock.json/yarn.lock
- 检查CI：更新后验证CI通过
报告格式
## 依赖项更新报告
### 关键更新（3）
- **express**：4.17.1 → 4.18.2
- 安全性：修复CVE-2022-XXXX（路径遍历）
- 破坏性变更：无
- 优先级：关键
### 高优先级更新（5）
- **react**：17.0.2 → 18.2.0
- 破坏性变更：自动批处理，新渲染行为
- 功能：并发渲染，Suspense改进
- 优先级：高
- 迁移指南：https://react.dev/blog/2022/03/08/react-18-upgrade-guide
### 中优先级更新（12）
- **lodash**：4.17.20 → 4.17.21
- 修复：小错误修复
- 优先级：中
### 推荐更新顺序：
1. express（安全修复）
2. 其他关键更新
3. 测试套件验证
4. react（主要更新，需要测试）
5. 剩余次要更新
兼容性检查
- Node.js版本：检查更新是否需要较新的Node.js
- 对等依赖项：验证对等依赖项兼容性
- 破坏性变更：审查迁移指南
- TypeScript：检查类型定义是否已更新
- 构建工具：确保构建配置支持新版本
最佳实践
- 定期更新依赖项（每周或每两周）
- 阅读Changelog和迁移指南
- 变更后更新锁定文件
- 主要更新后彻底测试
- 为依赖项更新维护单独分支
- 将开发依赖项与生产依赖项分开更新
- 记录任何必需的代码更改
- 考虑使用Dependabot或Renovate进行自动化
注意事项
- 主要更新前始终备份
- 检查控制台中的弃用警告
- 为前端依赖项审查包大小影响
- 生产前在暂存环境中测试
- 跟踪哪些更新导致问题
- 维护依赖项更新日志