自动生成升级合并请求很容易，确认它是否适合生产环境更重要。版本号变化只是入口，实际影响可能来自传递依赖或默认配置。

阅读兼容性信息

先确认运行时最低版本、废弃接口和配置默认值。安全修复应关注受影响条件，而不是只看漏洞标题。

比较锁文件

锁文件能显示新增、移除和替换的传递包。突然出现的构建脚本、原生扩展或网络下载值得单独审查。

分层验证

先运行单元测试和静态检查，再验证构建产物，最后用真实依赖执行关键流程。高风险升级应独立发布，便于回滚。