Jak zastąpić zagnieżdżone wersje zależności NPM?

Chciałbym użyć grunt-contrib-jasminepakietu NPM. Ma różne zależności. Część wykresu zależności wygląda następująco:

─┬ grunt-contrib-jasmine@0.4.1
 │ ├─┬ grunt-lib-phantomjs@0.2.0
 │ │ ├─┬ phantomjs@1.8.2-2

Niestety w tej wersji jest błąd, phantomjsktóry uniemożliwia poprawną instalację w systemie Mac OS X. Zostało to naprawione w najnowszej wersji.

Jak mogę grunt-lib-phantomjsużyć nowszej wersji phantomjs?

Dodatkowy kontekst:

• grunt-contrib-jasminewyraźnie wymaga wersji "~0.2.0"z grunt-lib-phantomjs, który wyraźnie wymaga wersji "~1.8.1"z phantomjs.
• Dodanie phantomjsnajpierw do zależności mojego pakietu nie ma żadnego efektu; obie wersje są zainstalowane i grunt-contrib-jasminenadal korzystają ze starszych wersji (patrz: Czy podczas instalowania pakietu za pomocą NPM możesz powiedzieć, aby używał innej wersji jednej z jego zależności? ).

Możesz użyć funkcji npm shrinkwrap , aby zastąpić dowolną zależność lub zależność zależną.

Właśnie to zrobiłem w naszym chrapliwym projekcie. Potrzebowaliśmy nowszej wersji Connect, od wersji 2.7.3. sprawiał nam kłopoty. Więc stworzyłem plik o nazwie npm-shrinkwrap.json:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

npm powinien automatycznie odebrać go podczas instalacji dla projektu.

(Widzieć: https://nodejs.org/en/blog/npm/managing-node-js-dependencies-with-shrinkwrap/ )

Dla tych od 2018 roku i później, używając npm wersji 5 lub nowszej: edytuj package-lock.json: usuń bibliotekę z"requires" sekcji i dodaj ją w „zależnościach”.

Na przykład chcesz, aby deglobpakiet używał globwersji pakietu 3.2.11zamiast bieżącej. Otwierasz package-lock.jsoni widzisz:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "glob": "7.1.2",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  }
},

Usuń "glob": "7.1.2",z "requires", dodaj "dependencies"z odpowiednią wersją:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  },
  "dependencies": {
    "glob": {
      "version": "3.2.11"
    }
  }
},

Teraz usuń node_modulesfolder, uruchom, npm installa doda brakujące części do "dependencies"sekcji.

Dla osób używających przędzy.

Próbowałem używać npm shrinkwrap, dopóki nie odkryłem, że przędza cli zignorowała mój plik npm-shrinkwrap.json.

Przędza ma https://yarnpkg.com/lang/en/docs/selective-version-resolutions/ do tego. Schludny.

Sprawdź również tę odpowiedź: https://stackoverflow.com/a/41082766/3051080

Miałem problem polegający na tym, że jedna z zagnieżdżonych zależności miała lukę w kontroli audytu npm, ale nadal chciałem zachować wersję zależności nadrzędnej. rozwiązanie Shrinkwrap npm nie działało dla mnie, więc co zrobiłem, aby zastąpić zagnieżdżoną wersję zależności:

1. Usuń zagnieżdżoną zależność w sekcji „wymagania” w pliku package-lock.json
2. Dodaj zaktualizowaną zależność w polu DevDependencies w pliku package.json, aby moduły, które tego wymagają, nadal będą mogły uzyskać do niej dostęp.
3. npm i

Shrinkwrap NPM oferuje dobre rozwiązanie tego problemu. Pozwala nam to zastąpić tę wersję określonej zależności określonego podmodułu.

Zasadniczo, po uruchomieniu instalacji npm, npm najpierw sprawdzi w twoim katalogu głównym, czy istnieje plik npm-shrinkwrap.json. Jeśli tak, najpierw wykorzysta to do określenia zależności pakietu, a następnie powróci do normalnego procesu pracy z plikami package.json.

Aby utworzyć plik npm-shrinkwrap.json, wszystko, co musisz zrobić, to

 npm shrinkwrap --dev

kod:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

Znalazłem rozwiązanie, które działało dla mnie.

Więc. Najpierw edytuj plik npm-shrinkwrap.json zgodnie z zaleceniami dla wszystkich innych rozwiązań.

Następnie (w systemie Windows):

• Kliknij prawym przyciskiem myszy plik „npm-shrinkwrap.json”
• Nieruchomości
• W sekcji Atrybuty wybierz opcję „Tylko do odczytu”. Uniemożliwi to npm zmodyfikowanie pliku mpn-shrinkwrap.json.

Inne proponowane rozwiązania są wystarczająco dobre, jeśli wykonujesz operację instalacji npm tylko raz. Ale po pierwszej „instalacji npm” plik „npm-shrinkwrap.json” jest ponownie modyfikowany, tak jak przed modyfikacją.