| 信号 | 主版本落后多个大版本、漏洞告警常年挂着 |
|---|---|
| 策略 | 小块持续升级 + 锁定版本 + 自动化测试兜底 |
| 工具 | Dependabot / Renovate 生成升级 PR |
升级节奏示例
升级节奏示例
每周：合并补丁级升级 PR（自动测试通过即合）
每季度：评估次版本升级，读变更日志
每年：评估主版本升级，专项排期升级最贵的不是改代码，是验证；把验证自动化（回归测试 + 灰度），升级才能变小步。
依赖债：版本陈旧与升级停滞
依赖债指被困在旧版本：安全补丁缺失、无法使用新特性、升级成本随跨度指数上升；治理是持续小步升级（每个迭代若干补丁版本），而不是攒到必须升级时冒险。
易错点
- 升级 PR 堆积不处理：清单越来越长，最终全部关闭
- 只升直接依赖：传递依赖仍留旧洞，锁文件要一并更新
数据来源与参考
- Renovate / Dependabot 文档；语义化版本与升级工程实践