依赖版本范围治理与冻结策略（SemVer-精准锁定）最佳实践

核心要点禁用 `^`、`~`、`>=`、`<=`、`*` 等范围；生产依赖必须精确版本。冻结策略对关键依赖设审批与解冻窗口；构建门禁严格执行。实现示例type DepEntry = { name: string; version: string; prod: boolean }

function semverValid(v: string): boolean {

return /^(0|[1-9]\d*)\.(0|[1-9]\d*)\.(0|[1-9]\d*)(?:-[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?(?:\+[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?$/.test(v)

}

function rangeFree(v: string): boolean {

return !/[\^~><=\*xX]/.test(v) && semverValid(v)

}

function evaluate(deps: DepEntry[]): { ok: boolean; errors: string[] } {

const errors: string[] = []

for (const d of deps) {

if (d.prod && !rangeFree(d.version)) errors.push(`range:${d.name}`)

}

return { ok: errors.length === 0, errors }

}

审计与CI门禁构建前校验依赖条目；命中范围版的生产依赖直接阻断。冻结列表变更需审批并记录窗口与影响范围。