package.json 中 ~（波浪号）与 ^（脱字符）有什么区别
~1.2.3 只允许补丁级升级（1.2.x），^1.2.3 允许次版本+补丁升级（1.x 到 <2.0.0）。本文讲清语义化版本规则、0.x 版本的特例，以及生产环境锁版本的建议。
一句话回答：两者都基于语义化版本（主版本.次版本.补丁）限定允许安装的范围。~1.2.3 只允许补丁级更新：>=1.2.3 且 <1.3.0；^1.2.3 允许次版本和补丁更新：>=1.2.3 且 <2.0.0。简单说：~ 锁前两位，^ 锁第一位。
对照表
| 写法 | 允许范围 | 含义 |
|---|---|---|
~1.2.3 |
>=1.2.3 <1.3.0 | 只接受补丁更新（1.2.x） |
^1.2.3 |
>=1.2.3 <2.0.0 | 接受次版本+补丁更新（1.x） |
1.2.3（无前缀） |
精确等于 1.2.3 | 完全锁死 |
* / x |
任意稳定版本（默认不含预发布） | 不设限（危险） |
~1.2 |
>=1.2.0 <1.3.0 | 省略补丁号时等价 1.2.x |
^1 |
>=1.0.0 <2.0.0 | 等价 1.x |
背后的信任假设：依赖方遵守 semver——补丁只修 bug、次版本只加向后兼容的特性、主版本才有破坏性变更。~ 和 ^ 都是在"信任上游遵守 semver"与"持续获得修复"之间的权衡。
0.x 版本的特例
主版本为 0 时语义不同（0.x 被视为不稳定期）：
^0.2.3→ >=0.2.3 <0.3.0（只放补丁，行为类似~）^0.0.3→ >=0.0.3 <0.0.4（完全锁死）~0.2.3→ >=0.2.3 <0.3.0
因为 semver 规定 0.x 期间任何东西都可能变，npm 对 0.x 的 ^ 自动收紧。
实践建议
- 应用项目：用
^（npm 默认），配合提交package-lock.json——lock 文件锁定实际安装版本，版本范围在首次解析、执行 npm update 或锁文件不再满足清单时参与选择，并不只在重建整个 lock 时生效 - 类库项目：依赖范围放宽些（
^），避免和使用者的依赖树冲突 - 关键依赖求稳：对出过事故的包用
~或精确版本 - CI 用
npm ci而不是npm install：严格按 lock 安装，杜绝"我机器上好好的"
常见问题（FAQ）
Q：有了 package-lock.json，~/^ 还有意义吗？
A：有。lock 锁定的是当前这棵依赖树的精确版本；当同事新增依赖触发重新解析、或你执行 npm update 时，~/^ 决定能升多远。两者配合：范围声明意图，lock 保证复现。
Q：依赖不按 semver 出牌怎么办？
A：现实中确实有包在次版本里夹带破坏性变更。防御手段：lock 文件 + CI 测试 + 对"惯犯"包用精确版本，升级时看 CHANGELOG。
Q：npm install pkg 默认加的是 ~ 还是 ^？
A：默认 ^（由 save-prefix 配置控制，默认 ^）。可用 npm config set save-prefix '~' 改成波浪号。
核查依据
本文依据官方文档核对，示例未在实际业务环境运行；上线前请按部署版本、权限与数据范围验证。
