锁定与升级流程
锁定与升级流程
锁定: requirements.txt、package-lock.json、镜像 digest
窗口: 每月一次常规升级；安全补丁随到随评
流程: 读变更说明 → 本地回归 → 测试环境复测 →
灰度 → 全量；记录升级前后版本对
回滚: 保留上一个镜像与锁文件| 原因 | 可复现构建，避免“这个环境能跑” |
|---|---|
| 安全 | 依赖漏洞公告订阅，评估影响面 |
依赖固定与升级窗口
锁定 SDK、框架与工具链版本，在固定窗口升级：升级前跑回归与安全复测；锁文件与镜像摘要保证各环境一致。
易错点
- 各环境依赖版本不一致，行为差异难排查
- 长期不升级，安全补丁滞后积累
数据来源与参考
- 可复现构建（reproducible builds）通用实践；Semantic Versioning 依赖管理思路