- 必要性：既有依赖能否覆盖；引入的是运行时还是构建期依赖
- 版本与锁文件：变更是否按预期，避免无关升级混入
- 许可证：与项目许可证的兼容性（注意传染性许可）
- 维护状态与安全：是否活跃维护、有无已知漏洞公告
锁文件的大规模无关变更会掩盖真实改动：应要求单独提交或给出说明。
| 新增前核对 | 运行时开销、包体积、传递依赖数量 |
|---|---|
| 锁文件审查 | 确认本次 diff 只包含目标依赖，无顺带升级 |
评审检查项：依赖变更
依赖变更评审：新增依赖的必要性与维护状态、版本锁定与可复现构建、许可证兼容、供应链与漏洞影响。
易错点
- 顺手升级全部依赖混进功能改动：出问题难以二分定位
- 只看功能不看许可证：把传染性许可引入项目
数据来源与参考
- GitHub Open Source Guides（依赖的许可证与维护性检查）
- npm Docs（package-lock 语义）