程序员如何做「技术升级」：不是追新，是稳定
技术升级是每个团队都要面对的问题。
不升级有安全风险，升级有兼容性风险。怎么平衡？
一、什么时候需要升级
1. 安全漏洞
依赖有已知漏洞，需要修复。
2. 版本停止维护
旧版本不再更新，没有安全补丁。
3. 需要新功能
新版本有你需要的功能。
4. 性能问题
新版本有性能优化。
二、升级前的准备
1. 评估影响
- 升级的范围有多大
- 有没有 breaking change
- 需要多少测试
2. 制定计划
- 先在测试环境验证
- 再灰度上线
- 准备好回滚方案
3. 通知相关方
- 团队成员
- 下游服务
- 用户（如果影响 API）
三、升级的步骤
1. 依赖扫描
找出所有需要升级的依赖。
2. 风险评估
哪些可以升级，哪些需要谨慎。
3. 小范围验证
先在一个模块或一个小项目上验证。
4. 逐步推广
验证通过后，逐步推广到其他模块。
5. 监控上线
上线后监控，观察有没有异常。
四、升级的常见错误
❌ 不做测试就上线
"我觉得应该没问题"——不测试就上线，风险很大。
❌ 一次升太多
跨多个大版本一起升，问题难以排查。
❌ 不留回滚方案
出了问题没有退路。
❌ 忽略 breaking change
新版本有 breaking change，没注意就上线。
五、工具推荐
1. 依赖检查
- Maven：dependency-check
- npm：npm audit
- Python：safety
2. 版本管理
- Renovate（自动更新 PR）
- Dependabot（GitHub 原生）
六、一句话总结
技术升级 = 评估影响 + 制定计划 + 小范围验证 + 逐步推广 + 监控上线，准备回滚方案。