npm
npm（Node Package Manager）是JavaScript生态系统中广泛使用的包管理工具，随Node.js一同发布。它提供命令行界面，用于安装、发布、更新和卸载JavaScript软件包，并自动处理项目依赖关系与版本管理。npm同时指其配套的在线软件仓库npm Registry，开发者可通过该平台共享和复用开源代码模块，是现代前端与Node.js后端开发的基础工具之一。
核心事实
时间轴 (近 90 天)
在自动化发布场景中，CI 机器人持有受信密钥并自动对提交签名，下游消费者可以确认 npm 包版本由特定提交构建而来，未被篡改
框架适配包通过 dependencies 或 peerDependencies 声明其依赖的核心包版本范围；若两者错位，TypeScript 项目可能在编译期报类型不兼容，运行时也可能出现 API 缺失。
升级适配包时，可执行 npm ls ai 或查看 lockfile 确认实际解析到的 ai 版本是否落在适配层声明的范围内。
临时安装 DeepSeek Harness 不将包固定写入磁盘，每次通过 npm 现场拉取调用，命令行窗口不能关闭。
SolarWinds、Log4Shell 与各类恶意 npm 包事件均属于供应链攻击。
Geist Serif 可通过 npm 包 `geist` 安装，并提供独立的 CSS 变量入口（如 --font-geist-serif）用于按需打包。
升级后可通过 npm ls ai 或 pnpm why ai 确认依赖树中只剩一个 ai 版本
npm 生态遵循 SemVer（语义化版本）规范，版本号 X.Y.Z 分别对应主版本、次版本和补丁版本，补丁位递增通常只包含向后兼容的缺陷修复与依赖同步
在 npm 的扁平化依赖树中，若 @ai-sdk/tui 与项目直接依赖的 ai 包版本区间不重叠，包管理器可能安装两份 ai 副本，导致类型不匹配、实例判断失效或流式对象无法互通
npm 的 package-lock.json、pnpm 的 pnpm-lock.yaml、yarn 的 yarn.lock 会精确记录每个包被解析到的版本及其来源
还有 40 条时间轴事件
全部知识事实 (20)
语义化版本（SemVer）版本号格式为主版本.次版本.补丁版本，补丁版本递增表示向后兼容的问题修复
90%已验证语义化版本控制（SemVer）将版本号定义为 MAJOR.MINOR.PATCH 三段式结构，PATCH 变更仅包含向后兼容的缺陷修复或依赖更新
90%已验证升级方式为运行 npm install @ai-sdk/openai@4.0.60
90%已验证GPG 签名是基于公钥密码学的数字签名机制，用于软件发布的完整性验证，可防范供应链攻击
90%已验证Claude Code 通过 npm 全局安装，命令为 npm install -g @anthropic-ai/claude-code
90%已验证在命令行输入 node -v 和 npm -v 可以查看 Node.js 和 npm 的版本号，验证是否已安装
80%已验证Claude Code通过npm全局安装，安装命令为npm install -g @anthropic-ai/claude-code
80%已验证npm（Node Package Manager）托管超过 200 万个软件包，是全球最大的开源软件注册表
80%已验证github-actions 是 GitHub 官方的 CI 机器人账号，仓库可配置在打 tag 时自动构建并发布到 npm。
80%已验证在 npm 生态中，^3.0.25 这类范围声明会自动接受补丁与次版本升级，执行 npm update 时会自动获取 3.0.26
80%已验证语义化版本规范（SemVer）将版本号定义为 MAJOR.MINOR.PATCH 三段结构，PATCH 递增表示向后兼容的缺陷修复，MINOR 表示向后兼容的新功能，MAJOR 表示破坏性变更
80%已验证peerDependencies 是 npm 包管理中的一种依赖声明机制，不会在安装时自动下载，而是要求宿主项目自行提供指定版本的依赖
80%已验证可通过npm install @ai-sdk/zai@1.0.3或yarn add @ai-sdk/zai@1.0.3命令进行升级
80%已验证AI SDK 使用 Changesets 工具进行 Monorepo 架构的版本管理和发布，当核心包变更时会自动级联更新下游包版本号并生成 changelog
80%已验证CI 环境中使用 npm ci 或 pnpm install --frozen-lockfile 会严格按锁文件安装，不解析 semver 范围。
75%已验证npm 依赖声明中 ^3.0.19 允许安装到 <4.0.0 的任意版本，~3.0.19 则只允许 <3.1.0 的版本。
75%已验证对于使用 ^1.0.0 等宽松依赖锁定的项目，执行常规包管理器更新即可获得 1.0.151 版本。
75%已验证Lockfile 是 npm、pnpm、yarn 等包管理器生成的依赖版本快照文件，常见形式为 package-lock.json、pnpm-lock.yaml 或 yarn.lock。
75%已验证面对纯依赖同步的补丁版本，使用 lockfile 严格锁定的项目可以按需升级，不必追赶每一个补丁号；使用范围版本号（如 ^3.0.0）的项目已自动拿到更新，需关注核心包行为是否变化。
75%已验证Patch 版本升级仍有可能间接拉入新版本的深层依赖，建议在锁文件环境下运行测试
75%