在未运行过的软件上运行软件
💡
原文英文，约500词，阅读约需2分钟。
📝
内容提要
现代语义版本控制和依赖管理中，包清单允许使用版本范围，支持未来未写的软件版本。这种做法使得在 package.json 中避免锁定特定版本，但在 package-lock.json 中又锁定了特定版本。尽管语义版本控制并非绝对保证，我们常常在未测试的组合上构建生产系统，可能带来安全隐患。
🎯
关键要点
- 现代语义版本控制和依赖管理中，包清单允许使用版本范围，支持未来未写的软件版本。
- 版本范围声明支持未来版本，而不是锁定特定版本。
- 使用版本范围的目的是为了在 package.json 中避免锁定特定版本，但在 package-lock.json 中又锁定了特定版本。
- 版本范围的使用最终导致依赖关系在锁定文件中保持不变。
- 语义版本控制是一种理念，而非绝对保证，构建生产系统时常常依赖未测试的组合。
- 未来版本的包不一定比之前的版本更安全，可能带来安全隐患。
- 版本范围和依赖管理可能导致软件构建中的非确定性。
❓
延伸问答
什么是语义版本控制？
语义版本控制是一种管理软件版本的理念，旨在通过版本号的变化来传达软件的兼容性和变化。
包清单中的版本范围有什么作用？
包清单中的版本范围允许声明对未来未写软件版本的支持，避免在 package.json 中锁定特定版本。
使用版本范围会带来哪些风险？
使用版本范围可能导致依赖关系的不确定性，并且未来版本的包不一定比之前的版本更安全，可能引发安全隐患。
为什么在 package-lock.json 中需要锁定特定版本？
在 package-lock.json 中锁定特定版本是为了确保依赖关系在构建时保持不变，尽管在 package.json 中使用了版本范围。
如何理解未测试的组合在生产系统中的使用？
在生产系统中，开发者常常依赖未测试的组合，假设这些组合能够正常工作，这种做法可能导致潜在问题。
未来版本的包是否总是更安全？
未来版本的包不一定比之前的版本更安全，历史上有一些安全事件表明，升级到最新版本可能会引发问题。
➡️
