顺手把 lodash 从 4.17.20 升到 4.17.21 没人看 changelog

npm outdated
npm diff --diff=lodash@4.17.20 --diff=lodash@4.17.21 --diff-name-only
git diff package-lock.json --stat

一个功能 PR 里顺手把 lodash 升了个小版本，lock 文件多了 260 行。合并后模板渲染报 TypeError: _.template is not a function，排查两小时才发现是依赖变更。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。

追下去是这么回事：依赖升级混在功能改动里，评审时被大 diff 淹没。小版本号被认为不会有破坏性变更，没人去看 release note。

这次卡住的地方就在「依赖升级评审」这一环，单独把它拎出来验证，别和其他改动混在同一次发布里。监控和日志的时间要对上，时区不一致会多绕很大一圈。

临时改动用注释写上日期和原因，过两周自己都记不清为什么这么写。动手前把原文件复制一份带时间戳，出问题立刻换回去，比现场分析快得多。

处理上按这个顺序：依赖升级单独提 PR 标题写清包名和版本区间；附上 changelog 里 breaking change 的段落；升级后跑一遍全量测试和构建；lock 文件变更单独看 确认没有引入新包。

确认没问题再收工，依赖升级 PR 里只有 lock 和 package.json 变更，changelog 的关键条目写在描述里。