了解 NPM 收缩包装

Question

最近发现

npm-audit

并且在第一次运行时它标记了很多漏洞，主要是围绕包及其依赖项。

想要解决这些漏洞，我发现了

npm shrinkwrap

，它允许我指定应该使用哪些版本及其依赖项？反正我是这么看的（如有错误请指正，在此学习）。

我试图修复的一个例子是模块

hoek

，在我的

package.json

中，这被设置为

"hoek": "^5.0.3"

当我运行

npm shrinkwrap

时，其中一个依赖项将

hoek

设置为版本 2

"boom": {
  "version": "2.10.1",
  "resolved": "https://registry.npmjs.org/boom/-/boom-2.10.1.tgz",
  "integrity": "sha1-OciRjO/1eZ+D+UkqhI9iWt0Mdm8=",
  "requires": {
    "hoek": "2.x.x"
  },
  "dependencies": {
    "hoek": {
      "version": "2.16.3",
      "resolved": "https://registry.npmjs.org/hoek/-/hoek-2.16.3.tgz",
      "integrity": "sha1-ILt0A9POo5jpHcRxCo/xuCdKJe0="
    }
  }
},

我想我可以编辑它并指定我想要依赖项使用的版本，就像这样

  "boom": {
  "version": "2.10.1",
  "resolved": "https://registry.npmjs.org/boom/-/boom-2.10.1.tgz",
  "integrity": "sha1-OciRjO/1eZ+D+UkqhI9iWt0Mdm8=",
  "dev": true,
  "requires": {
    "hoek": "2.x.x"
  },
  "dependencies": {
    "hoek": {
      "version": "5.0.3",
      "resolved": "https://registry.npmjs.org/hoek/-/hoek-5.0.3.tgz",
      "integrity": "sha1-ILt0A9POo5jpHcRxCo/xuCdKJe0=",
      "dev": true
    }
  }
},

但是，当我运行

npm shrinkwrap

或

npm install

时，所有这些都会恢复为原来的

我该如何处理这个问题？收缩包装是正确的选择还是我试图用它做一些我根本做不到的事情？

谢谢

Answer 1

NPM shrinkwrap 用于锁定项目中的依赖版本。

使用 npm install 或 npm install package-name 安装软件包并更新 node_modules 文件夹后，您应该运行 npm Shrinkwrap

它将创建新的 npm-shrinkwrap.json 文件，其中包含有关您使用的所有包的信息，并且您必须提交该文件。

下次，当有人调用 npm install 时，它将安装来自 npm-shrinkwrap.json 的软件包，并且您将在所有计算机上拥有相同的环境。

Answer 2

npm-shrinwrap.json 受到

npm publish

的尊重 - 意味着它将包含在最终包中。

package-lock.json 文件将被

npm publish

忽略，因此您的最终包将无法“锁定”包版本。