在未运行过的软件上运行软件
内容提要
现代语义版本控制和依赖管理中，包清单允许使用版本范围，支持未来未写的软件版本。这种做法使得在 package.json 中避免锁定特定版本，但在 package-lock.json 中又锁定了特定版本。尽管语义版本控制并非绝对保证，我们常常在未测试的组合上构建生产系统，可能带来安全隐患。
关键要点
-
现代语义版本控制和依赖管理中，包清单允许使用版本范围，支持未来未写的软件版本。
-
版本范围声明支持未来版本，而不是锁定特定版本。
-
使用版本范围的目的是为了在 package.json 中避免锁定特定版本，但在 package-lock.json 中又锁定了特定版本。
-
版本范围的使用最终导致依赖关系在锁定文件中保持不变。
-
语义版本控制是一种理念，而非绝对保证，构建生产系统时常常依赖未测试的组合。
-
未来版本的包不一定比之前的版本更安全，可能带来安全隐患。
-
版本范围和依赖管理可能导致软件构建中的非确定性。
延伸解读
语义版本控制的局限性
尽管语义版本控制旨在提供对未来版本的支持，但它并不是绝对可靠的保证。在实际应用中，开发者常常依赖未经过测试的版本组合，这可能导致系统的不稳定性和安全隐患。
依赖管理的安全风险
使用版本范围可能会引入安全风险，尤其是在软件包的未来版本并不一定比之前的版本更安全的情况下。开发者需要谨慎评估依赖关系，避免因盲目升级而引发的安全问题。
锁定文件的作用
虽然在 package.json 中使用版本范围可以避免锁定特定版本，但最终在 package-lock.json 中又会锁定具体版本。这种做法虽然看似矛盾，但实际上是为了确保构建的一致性，避免因版本变化导致的不可预知问题。
延伸问答
什么是语义版本控制？
语义版本控制是一种管理软件版本的理念，旨在通过版本号的变化来传达软件的兼容性和变化。
包清单中的版本范围有什么作用？
包清单中的版本范围允许声明对未来未写软件版本的支持，避免在 package.json 中锁定特定版本。
使用版本范围会带来哪些风险？
使用版本范围可能导致依赖关系的不确定性，并且未来版本的包不一定比之前的版本更安全，可能引发安全隐患。
为什么在 package-lock.json 中需要锁定特定版本？
在 package-lock.json 中锁定特定版本是为了确保依赖关系在构建时保持不变，尽管在 package.json 中使用了版本范围。
如何理解未测试的组合在生产系统中的使用？
在生产系统中，开发者常常依赖未测试的组合，假设这些组合能够正常工作，这种做法可能导致潜在问题。
未来版本的包是否总是更安全？
未来版本的包不一定比之前的版本更安全，历史上有一些安全事件表明，升级到最新版本可能会引发问题。
