Как переопределить вложенные версии зависимостей NPM?

Я хотел бы использовать grunt-contrib-jasmineпакет NPM. Это имеет различные зависимости. Часть графа зависимостей выглядит так:

─┬ grunt-contrib-jasmine@0.4.1
 │ ├─┬ grunt-lib-phantomjs@0.2.0
 │ │ ├─┬ phantomjs@1.8.2-2

К сожалению, в этой версии есть ошибка, phantomjsкоторая препятствует правильной установке в Mac OS X. Это исправлено в последней версии.

Как я могу grunt-lib-phantomjsиспользовать более новую версию phantomjs?

Некоторый дополнительный контекст:

• grunt-contrib-jasmineявно требует версий "~0.2.0"от grunt-lib-phantomjs, который явно требует версии "~1.8.1"о phantomjs.
• Добавление phantomjsк моему пакету зависимостей сначала не имеет никакого эффекта; обе версии установлены и по- grunt-contrib-jasmineпрежнему используют более старые версии (см .: При установке пакета с помощью NPM вы можете сказать ему использовать другую версию одной из его зависимостей? ).

Вы можете использовать термоусадочную пленку npm функциональность , чтобы переопределить любую зависимость или суб-зависимость.

Я только что сделал это в нашем грандиозном проекте. Нам нужна была более новая версия connect, начиная с 2.7.3. доставляла нам неприятности. Поэтому я создал файл с именем npm-shrinkwrap.json:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

npm должен автоматически поднять его во время установки для проекта.

(См .: https://nodejs.org/en/blog/npm/managing-node-js-dependencies-with-shrinkwrap/ )

Для пользователей с 2018 года и более поздних версий, используя npm версии 5 или новее: отредактируйте package-lock.json: удалите библиотеку из "requires"раздела и добавьте ее в разделе «зависимости».

Например, вы хотите, чтобы deglobпакет использовал globверсию пакета 3.2.11вместо текущей. Вы открываете package-lock.jsonи видите:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "glob": "7.1.2",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  }
},

Удалить "glob": "7.1.2",из "requires", добавить "dependencies"правильную версию:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  },
  "dependencies": {
    "glob": {
      "version": "3.2.11"
    }
  }
},

Теперь удалите вашу node_modulesпапку, запустите npm installи она добавит недостающие части в "dependencies"раздел.

Для тех, кто использует пряжу.

Я пытался использовать npm shrinkwrap, пока не обнаружил, что пряжа cli игнорировала мой файл npm-shrinkwrap.json.

Пряжа имеет https://yarnpkg.com/lang/en/docs/selective-version-resolutions/ для этого. Ухоженная.

Проверьте этот ответ тоже: https://stackoverflow.com/a/41082766/3051080

У меня была проблема, когда у одной из вложенных зависимостей была уязвимость аудита npm, но я все же хотел сохранить версию родительской зависимости. Решение npm shrinkwrap у меня не сработало, поэтому я переопределил версию с вложенными зависимостями:

1. Удалите вложенную зависимость в разделе 'require' в package-lock.json
2. Добавьте обновленную зависимость в DevDependencies в package.json, чтобы модули, которым она требуется, по-прежнему имели доступ к ней.
3. нпм я

Термоусадочная пленка NPM предлагает хорошее решение этой проблемы. Это позволяет нам переопределить эту версию конкретной зависимости конкретного субмодуля.

По сути, когда вы запускаете npm install, npm сначала просматривает ваш корневой каталог, чтобы узнать, существует ли файл npm-shrinkwrap.json. Если это произойдет, он будет использовать это сначала для определения зависимостей пакета, а затем перейдет к обычному процессу работы с файлами package.json.

Чтобы создать npm-shrinkwrap.json, все, что вам нужно сделать, это

 npm shrinkwrap --dev

код:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

Я нашел решение, которое сработало для меня.

Так. Сначала отредактируйте файл npm-shrinkwrap.json, как и все другие рекомендуемые решения.

Затем (в Windows):

• Щелкните правой кнопкой мыши файл 'npm-shrinkwrap.json'
• свойства
• Под Атрибутами выберите «Только для чтения». Это не позволит npm изменить файл mpn-shrinkwrap.json.

Другие предложенные решения достаточно хороши, если вы выполняете операцию npm install только один раз. Но после первой 'npm install' файл 'npm-shrinkwrap.json' снова изменяется, как и до вашей модификации.