npm
npm（Node Package Manager）是JavaScript生态系统中广泛使用的包管理工具，随Node.js一同发布。它提供命令行界面，用于安装、发布、更新和卸载JavaScript软件包，并自动处理项目依赖关系与版本管理。npm同时指其配套的在线软件仓库npm Registry，开发者可通过该平台共享和复用开源代码模块，是现代前端与Node.js后端开发的基础工具之一。
核心事实
时间轴 (近 90 天)
npm/yarn/pnpm 等包管理器的依赖解析结果依赖网络、注册表状态和本地缓存，同一份 package.json 在不同时间、不同机器上安装出的 node_modules 可能不完全一致。
Claude Code 通常以 npm 包形式安装，运行在用户自己的机器上，通过 API 调用模型能力，因此具备对本地文件系统的实际访问权限。
npm包的engines字段只是声明兼容范围，默认并不会强制拦截安装，除非启用engine-strict。
AI SDK 仓库通常借助 changesets 等工具管理版本与变更日志：开发者提交变更描述，发布工作流汇总后自动计算版本号、生成 changelog、创建 git tag 并推送至 npm
在 npm 生态中，脱字符（^）允许自动升级到不改变最左侧非零位的版本，例如 ^1.0.157 匹配 1.x.x 但不跨越 2.0.0；波浪号（~）只允许 PATCH 位变化。
npm 生态中 ^1.0.167 这样的范围写法允许自动接收 patch 与 minor 升级，而 ~1.0.167 只接受 patch 升级。
npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。
DSH 渗透模式插件来自 GitHub 开源项目，支持 npm 安装、release URL 安装和本地文件安装三种方式。
精确锁定版本（如 "3.0.70"）会阻止任何自动升级，而 ^3.0.70 配合锁文件可兼顾可复现性与升级通道。
package-lock.json 或 pnpm-lock.yaml 记录解析后的确切版本树，锁文件不变时 npm install 不会拉取新的补丁。
还有 40 条时间轴事件
全部知识事实 (20)
语义化版本（SemVer）版本号格式为主版本.次版本.补丁版本，补丁版本递增表示向后兼容的问题修复
90%已验证语义化版本控制（SemVer）将版本号定义为 MAJOR.MINOR.PATCH 三段式结构，PATCH 变更仅包含向后兼容的缺陷修复或依赖更新
90%已验证升级方式为运行 npm install @ai-sdk/openai@4.0.60
90%已验证GPG 签名是基于公钥密码学的数字签名机制，用于软件发布的完整性验证，可防范供应链攻击
90%已验证Claude Code 通过 npm 全局安装，命令为 npm install -g @anthropic-ai/claude-code
90%已验证在命令行输入 node -v 和 npm -v 可以查看 Node.js 和 npm 的版本号，验证是否已安装
80%已验证Claude Code通过npm全局安装，安装命令为npm install -g @anthropic-ai/claude-code
80%已验证npm（Node Package Manager）托管超过 200 万个软件包，是全球最大的开源软件注册表
80%已验证github-actions 是 GitHub 官方的 CI 机器人账号，仓库可配置在打 tag 时自动构建并发布到 npm。
80%已验证在 npm 生态中，^3.0.25 这类范围声明会自动接受补丁与次版本升级，执行 npm update 时会自动获取 3.0.26
80%已验证语义化版本规范（SemVer）将版本号定义为 MAJOR.MINOR.PATCH 三段结构，PATCH 递增表示向后兼容的缺陷修复，MINOR 表示向后兼容的新功能，MAJOR 表示破坏性变更
80%已验证peerDependencies 是 npm 包管理中的一种依赖声明机制，不会在安装时自动下载，而是要求宿主项目自行提供指定版本的依赖
80%已验证可通过npm install @ai-sdk/zai@1.0.3或yarn add @ai-sdk/zai@1.0.3命令进行升级
80%已验证AI SDK 使用 Changesets 工具进行 Monorepo 架构的版本管理和发布，当核心包变更时会自动级联更新下游包版本号并生成 changelog
80%已验证CI 环境中使用 npm ci 或 pnpm install --frozen-lockfile 会严格按锁文件安装，不解析 semver 范围。
75%已验证npm 依赖声明中 ^3.0.19 允许安装到 <4.0.0 的任意版本，~3.0.19 则只允许 <3.1.0 的版本。
75%已验证对于使用 ^1.0.0 等宽松依赖锁定的项目，执行常规包管理器更新即可获得 1.0.151 版本。
75%已验证Lockfile 是 npm、pnpm、yarn 等包管理器生成的依赖版本快照文件，常见形式为 package-lock.json、pnpm-lock.yaml 或 yarn.lock。
75%已验证面对纯依赖同步的补丁版本，使用 lockfile 严格锁定的项目可以按需升级，不必追赶每一个补丁号；使用范围版本号（如 ^3.0.0）的项目已自动拿到更新，需关注核心包行为是否变化。
75%已验证Patch 版本升级仍有可能间接拉入新版本的深层依赖，建议在锁文件环境下运行测试
75%