现代语义版本控制和依赖管理中，包清单允许使用版本范围，支持未来未写的软件版本。这种做法使得在 package.json 中避免锁定特定版本，但在 package-lock.json 中又锁定了特定版本。尽管语义版本控制并非绝对保证，我们常常在未测试的组合上构建生产系统，可能带来安全隐患。