npm依赖管理

依赖树与实际依赖关系

在 npm 项目中，package.json 定义的依赖并不总是反映项目的完整依赖树。这主要是由于 peerDependencies 的存在，它们允许包声明与宿主包的兼容性，而不直接安装这些依赖。

peerDependencies 的作用

• peerDependencies 用于表明包与哪些其他包兼容
• 这些依赖不会被自动安装，而是假设它们由宿主包提供
• 这机制特别适用于插件系统，避免重复安装相同库的多个版本

// 一个 React 插件的 package.json 示例
{
  "name": "my-react-plugin",
  "version": "1.0.0",
  "peerDependencies": {
    "react": "^16.8.0 || ^17.0.0",
    "react-dom": "^16.8.0 || ^17.0.0"
  }
}

在这个例子中，该插件需要 React 和 ReactDOM，但它假设这些已经由主应用提供。

查看实际依赖树

要查看项目的实际完整依赖树，可以检查 package-lock.json 文件，它提供了项目安装时每个包的确切版本和依赖关系。

通过命令行也可以查看：

# 显示完整依赖树
npm list
 
# 仅显示顶级依赖
npm list --depth=0
 
# 查看特定包的依赖树
npm list <package-name>

依赖类型比较

依赖类型	安装时机	目的
dependencies	安装包时自动安装	项目运行所需的依赖
devDependencies	只在开发环境安装	开发和测试工具
peerDependencies	不会自动安装	声明与宿主包的兼容性
optionalDependencies	尝试安装，失败时不中断	可选功能的依赖
bundledDependencies	与包一起发布	确保特定版本的依赖可用

依赖冲突处理

在复杂项目中，同一个包的不同版本可能同时存在，具体取决于 npm 的解析算法：

• npm v3+ 使用扁平化依赖树
• 具有相同语义版本范围的依赖会被提升并共享
• 不兼容的版本会保持在各自的子目录中

使用 npm dedupe 命令可以尝试减少重复依赖。

实用技巧

1. 锁定依赖版本：使用 package-lock.json 或 npm ci 确保所有人使用相同的依赖版本
2. 分析依赖：使用工具如 npm-check 或 depcheck 检查未使用的依赖
3. 可视化依赖：使用 npm ls 或第三方工具如 npm-dependency-graph 可视化依赖关系

链接关系

• npm
• package.json
• npmrc
• yarn