用途：以可控方式升级项目依赖，处理破坏性变更，保持构建与测试通过。触发场景：用户要求“更新依赖”“升级某包”“bump 版本”或“修复 npm audit”；处理安全公告或 CVE；准备维护发布；新增依赖后核对版本与 peer 依赖。
主要能力与流程：先确定更新范围（全部、仅主版本或指定包），查看清单文件（package.json、requirements.txt、go.mod 等）与锁文件（package-lock.json、yarn.lock、Pipfile.lock）。对每个主版本或重要次版本升级阅读 CHANGELOG 或 GitHub releases，记录破坏性变更与迁移步骤。规划顺序：先开发/测试依赖，后运行时依赖，一次少量以便定位失败；多个主版本分 PR。应用变更后运行安装命令（如 npm install、pip install -r requirements.txt、go get），解决 peer 依赖或已移除 API 等报错。跑完整测试套件并做冒烟测试，最后提交更新后的锁文件以保证 CI 与部署可复现，并在 PR 或发布说明中记录升级包、破坏性变更、配置变更与手动步骤。
工具示例（保留原样）：npm audit、npm audit fix、npm update [package]、npm install package@latest、npm ci、npm test；pip install --upgrade package、pip freeze > requirements.txt、pip check；go get module@version、go mod tidy、go build ./...、go test ./...。
安全规则：主版本默认可能有破坏性变更；提交锁文件，除非项目明确策略否则不要留给 CI 重新生成；安全修复优先采用能解决 CVE 的最小版本升级；单体仓库需评估对共享依赖方的影响并测试；风险高时保留旧锁文件或版本以便回滚。
限制：资料未提供具体版本号、收费或平台信息；无法升级时须说明原因（peer 不兼容、受支持版本无修复），并给出补丁分支、等待上游或书面接受风险等建议。