安全替换需严格限定范围、开启预览、慎用正则：必须填写文件类型glob模式，排除敏感目录与文件，转义特殊字符，非贪婪匹配，替换前git提交并逐文件diff验证。
直接在 VS Code 里点“全部替换”是高危动作，90% 的误改都发生在没限定范围、没开预览、没关正则却输错字符的瞬间。安全替换不是慢，而是把关键控制点卡死。
限定文件类型必须填 *.vue 或 *.ts，不能只靠眼睛看
VS Code 默认搜索整个工作区，但 node_modules、dist、.git 虽被自动排除，可一旦你手动改过 search.exclude 或开了“包含所有文件”，就可能扫到不该动的文件。比如搜 console.log，不加 *.js 或 src/**/*.ts，它真会去 node_modules/xxx/dist/xxx.min.js 里硬刚——而那里根本没法 diff。
-
包含文件框里必须显式填*.vue、**/*.css、src/**/*.py等 glob 模式，空着等于裸奔 - 路径模式要写全：用
src/components/**/*.vue比components/**/*.vue更稳，避免匹配到同名子目录 - 如果项目有
types/或__tests__/这类特殊目录，且你不想动它们，就填进排除文件框，例如**/__tests__/**, **/types/**
正则模式不开预览=开盲盒
启用 .* 图标后，.、?、*、^、$ 全部失效或变义，一个没转义的 . 就能让 api.v1.js 匹配成 apiXv1Xjs。VS Code 不报错，只默默替换。
- 查
class="btn"？别直接输，先试class="btn"（HTML 实体）或class=\"btn\"（带转义），再开正则确认匹配行是否全是目标位置 - 捕获组必须预览：比如用
(<div>]*class=")(old-comp)(\w+") 替换为 <code>$1new-comp$3，每条结果点开看 $1 和 $3 是否真包住了引号和空格，有没有漏掉class='old-comp'这种单引号情况 - 非贪婪匹配更安全：
.*?比.*少越界，尤其处理 XML/HTML 标签时，<tag>(.*?)</tag>比<tag>(.*)</tag>更不容易吞掉中间的闭合标签 - 执行替换前，先
git add -A && git commit -m "backup before replace"，别信“撤销”按钮，它不恢复已保存的文件 - 先对单个文件（比如
src/App.vue）点“替换”按钮，跑一遍本地 dev server，看 UI 和控制台是否异常；再扩到src/views/**目录，最后才全量 - 替换完别急着保存：用 VS Code 内置的
Ctrl+Shift+P→ “Git: Open Changes” 或直接看左侧源代码管理面板，逐个点开修改文件，用右键“Compare With Previous”看 Diff，重点检查注释、字符串、正则边界是否被连带改动 - VS Code 设置里加这条：
"files.exclude": { "**/.env": true, "**/config.json": true }，让它们压根不出现在搜索结果里 - 真要改配置，用专门的工具：比如
.env用dotenv-cli，config.json用jq命令行，确保只动 key 对应的 value - 如果项目用了
dotenv-expand或变量嵌套，连jq都可能出错——这时候只能人工逐行核对，别图快
替换前必须做三件事：Git 提交、小范围试跑、逐文件 Diff
“我只改了 5 个文件”不是理由——git status 显示 12 个修改，说明至少有 7 个是你没注意到的。VS Code 的“全部替换”不区分上下文，props.msg 和 message 在同一行时，搜 msg 会一起中招。
敏感文件如 .env、config.json 必须禁用全局替换
这类文件内容天然不可预测：值可能是 DB_PASSWORD=abc123!，也可能是 API_URL=https://prod.example.com。全局搜 prod 换成 staging，一不留神就把密码里的 prod 子串也干掉了。
最常被跳过的其实是“预览时点开每一处匹配看上下文”。不是所有 user.id 都该换成 currentUser.id，有些在注释里，有些在字符串模板中，有些是第三方库的内部字段。安全替换的代价不是时间，是注意力分配的位置。
