2、版本管理基础：语义化版本控制（SemVer）、版本号规范、依赖锁定文件（lock file）的作用
聊到版本回滚，咱们得先把地基打牢。版本号怎么定？依赖怎么锁？这些看似基础的东西，恰恰是回滚操作能顺利执行的前提。我见过太多团队，版本号乱写，锁文件不提交，结果一升级就崩，想回都回不去。
今天咱们就把这三个核心概念掰开揉碎，讲清楚。
2.1 语义化版本控制（SemVer）—— 版本号的“交通规则”
语义化版本控制，英文叫 SemVer（Semantic Versioning）。说白了，就是给版本号定一套规矩。没有规矩，你根本不知道 2.1.0 和 2.2.0 到底差了多少。
它的格式很简单：主版本号.次版本号.修订号，也就是 MAJOR.MINOR.PATCH。
| 位置 | 名称 | 什么时候加 1 | 举个例子 |
|---|---|---|---|
| 第一位 | 主版本号（MAJOR） | 做了不兼容的 API 修改 | 1.0.0 → 2.0.0 |
| 第二位 | 次版本号（MINOR） | 新增了功能，但向后兼容 | 1.0.0 → 1.1.0 |
| 第三位 | 修订号（PATCH） | 做了 bug 修复，不改变功能 | 1.0.0 → 1.0.1 |
规则看起来简单，但实际用起来有不少坑。我个人习惯是：只要改了公共接口，哪怕只是改了个参数名，主版本号必须升。别想着“就改一点点，应该没事”，这种侥幸心理我吃过亏。
核心原则：
- 版本号一旦发布，就不能再修改。有改动就发新版本。
- 主版本号为 0（0.y.z）表示开发阶段，随时可能不兼容。
- 版本号比较时，按数字大小比，不是字符串。1.10.0 > 1.9.0。
我的小技巧： 在 package.json 里，我习惯把依赖版本写成 ^1.2.3 这种形式。^ 表示允许次版本号和修订号升级，但不允许主版本号升级。这样既能拿到小更新，又不会突然被不兼容的改动搞崩。
2.2 版本号规范 —— 不只是三个数字
SemVer 规定了三个数字，但实际项目中，我们还会遇到一些“附加标签”。比如 1.0.0-alpha.1、2.3.0-rc.2 这种。
这些标签放在修订号后面，用短横线连接。常见的标签有：
- alpha：内部测试版，功能可能不全，bug 很多。
- beta：公开测试版，功能基本完整，但还有已知问题。
- rc：发布候选版，基本稳定，如果没有重大问题就直接发正式版。
我记得有一次，团队里有人把 1.0.0-rc.1 当成了正式版直接上线。结果发现 rc 版本里有个日志打印的调试代码没删掉……嗯，从那以后我要求所有预发布版本必须加标签，并且 CI 流程里严格区分。
避坑指南： 我曾经遇到过，有人把版本号写成 1.0.0.1 这种四段式。这不是 SemVer 标准！npm、Maven、pip 等工具可能无法正确解析。请严格遵守 MAJOR.MINOR.PATCH 三段式。
2.3 依赖锁定文件（lock file）—— 回滚的“救命稻草”
你想想看，你的 package.json 里写的是 "lodash": "^4.17.0"。今天安装，拿到的是 4.17.21。三个月后，别人拉代码再安装，可能拿到的是 4.17.30。虽然都是 4.17.x，但万一 4.17.30 里有个 bug 呢？
这就是 lock file 存在的意义。它把所有依赖的精确版本号都锁死，包括依赖的依赖（也就是间接依赖）。
常见的 lock file 有：
- package-lock.json（npm）
- yarn.lock（Yarn）
- pnpm-lock.yaml（pnpm）
- Gemfile.lock（Ruby）
- poetry.lock（Python）
它们的作用完全一样：保证所有人、所有环境、任何时候安装，得到的依赖树完全一致。
为什么 lock file 对回滚至关重要？
假设你从 1.0.0 升级到 2.0.0，发现不兼容。你想回滚到 1.0.0。如果没有 lock file，你回滚了 package.json 里的版本号，但重新安装时可能拿到的是 1.0.0 时期不存在的间接依赖新版本。结果就是：回滚了，但没完全滚回去。
有了 lock file，你只需要把 lock file 也回滚到旧版本，然后执行 npm ci（注意不是 npm install），就能精确还原当时的依赖环境。
我的建议： lock file 必须提交到 Git 仓库。别听网上有些人说“lock file 不应该提交”，那是针对库（library）项目。对于应用项目（application），lock file 是必须提交的。我所有的项目，CI 里第一步就是检查 lock file 是否和 package.json 一致。
2.4 一张图看懂版本管理核心逻辑
下面这张图，把 SemVer、版本号规范、lock file 的关系串起来了。你一看就明白。
你看，SemVer 定义了版本号的“语法”，版本号规范约束了“格式”，而 lock file 则保证了“一致性”。这三者加在一起，才构成了一套完整的、可追溯的版本管理体系。没有这套体系，回滚操作就像在沙滩上盖楼——看着挺像回事，一推就倒。
再次强调： 别把 lock file 加到 .gitignore 里！我接手过一个项目，lock file 被忽略了，结果每次部署安装的依赖都不一样。线上出了 bug，本地死活复现不了。折腾了两天才发现是依赖版本不一致导致的。这种坑，踩一次就够了。
好了，版本管理的基础就这些。记住：版本号是承诺，lock file 是契约。把这两样东西管好了，回滚就是一条命令的事。