概念transitive dependency
传递依赖
项目中未直接声明、而是被直接依赖所依赖的包。其行为变化不出现在项目 package.json 中，却可能在运行期显现，由 lockfile 固定整棵依赖树的解析结果。
时间轴 (近 90 天)
10月22日
补丁版本的风险主要集中在传递依赖上，升级前应检查依赖 diff 是否涉及运行时行为变化（如流式解析、fetch 封装）。
待验证50%
项目中未直接声明、而是被直接依赖所依赖的包。其行为变化不出现在项目 package.json 中，却可能在运行期显现，由 lockfile 固定整棵依赖树的解析结果。
补丁版本的风险主要集中在传递依赖上，升级前应检查依赖 diff 是否涉及运行时行为变化（如流式解析、fetch 封装）。