版本号说了谎:semver为什么管不住npm生态
Posted by quentin 在 Friday, 12 June 2026上周四晚上十点半,我收到一条告警:生产环境的理财持仓页白屏率从0.1%飙升到8%。排查了两小时,最后发现是一个间接依赖发布了"patch"更新,把一个工具函数的返回值从数组改成了迭代器。没有破坏性变更声明,没有 major 版本升级,就是一个小小的 1.2.3 到 1.2.4。
这种事在 Node.js 生态里不算新鲜。每个在前端或 BFF 层待过几年的工程师,大概率都经历过类似的"幽灵故障"——代码没动,依赖没升,线上突然就挂了。问题出在哪?出在我们把 semver 当成了契约,但它充其量只是一份君子协定。
semver 的承诺本身就是模糊的
semver 的规则看起来很简单:major 变更代表不兼容的 API 修改,minor 是向后兼容的功能新增,patch 是向后兼容的问题修复。三段式版本号,清晰明了。