依赖管理的资源账：内存、CPU 与 IO 到底花在哪

0.x 版本不遵循语义化约定，^0.2.1 也可能带破坏性变更

做容量规划时，看三个数就够了：常驻内存、峰值内存、峰值持续时间。

先说结论

按「峰值 × 1.3」配内存，按「平均 × 2」配 CPU，按「峰值 × 3」留磁盘余量。

• 先量：常驻、峰值、峰值时长
• 内存：注意缓存与 RSS 的区别
• CPU：看是单核瓶颈还是多核瓶颈
• IO：随机读写最伤机械盘
• 扩容前先看是不是配置问题

三个必测的数

不测就调参，等于闭眼改代码：

• 常驻内存（RSS）：决定最低配置
• 峰值内存：决定会不会 OOM
• 峰值持续时间：决定要不要限流
• 磁盘日增量：决定备份与轮转策略

内存都去哪了

前端项目的传递依赖常有 800-1500 个包，其中九成不直接使用。

Linux 的 buff/cache 会让人误判内存不足，先看 available 而不是 free。

这个服务的几个资源事实

实测下来，它吃资源的方式比较固定：

• ^1.2.3 允许升到 1.x 最新，~1.2.3 只允许 1.2.x，差别在次版本
• 前端项目的传递依赖常有 800-1500 个包，其中九成不直接使用
• 0.x 版本不遵循语义化约定，^0.2.1 也可能带破坏性变更
• 依赖漏洞告警里真正可达的通常不到三成，要按调用链判断

CPU 峰值怎么处理

0.x 版本不遵循语义化约定，^0.2.1 也可能带破坏性变更。

峰值不可怕，可怕的是峰值期间没有排队机制，所有请求一起超时。

扩容还是优化

先做这三件事再谈扩容：限制并发、加缓存、异步化。多数「性能问题」在这三步之后就消失了。

还有几处容易忽略的

都是小地方，但出问题时往往就卡在这里。

• 锁文件不入库时，两台机器装出来的版本可能差十几个补丁
• 每月批量升级一次，比攒一年再升的冲突少得多
• 生产环境不锁版本，一次发布带上十几个未测试的补丁
• 看到 audit 高危就全部升级，主版本跳变直接编译失败
• 把 node_modules 提交进仓库，diff 里全是第三方代码

性能优化的第一步，是知道自己现在有多慢。