Come sovrascrivere le versioni nidificate di dipendenza NPM?

Vorrei usare il grunt-contrib-jasminepacchetto NPM. Ha varie dipendenze. Parte del grafico delle dipendenze è simile al seguente:

─┬ grunt-contrib-jasmine@0.4.1
 │ ├─┬ grunt-lib-phantomjs@0.2.0
 │ │ ├─┬ phantomjs@1.8.2-2

Sfortunatamente, c'è un bug in questa versione phantomjsche ne impedisce l'installazione corretta su Mac OS X. Questo problema è stato risolto nell'ultima versione.

Come posso grunt-lib-phantomjsusare una versione più recente di phantomjs?

Qualche ulteriore contesto:

• grunt-contrib-jasminerichiede esplicitamente la versione "~0.2.0"di grunt-lib-phantomjs, che richiede esplicitamente la versione "~1.8.1"di phantomjs.
• L'aggiunta prima phantomjsalle dipendenze del mio pacchetto non ha alcun effetto; entrambe le versioni sono installate e grunt-contrib-jasmineusano ancora le versioni precedenti (vedi: Quando si installa un pacchetto con NPM, si può dire che usa una versione diversa di una delle sue dipendenze? ).

È possibile utilizzare la funzionalità npm shrinkwrap , al fine di ignorare qualsiasi dipendenza o sub-dipendenza.

L'ho appena fatto in un nostro grugnito progetto. Avevamo bisogno di una versione più recente di connect, dal 2.7.3. stava causando problemi per noi. Quindi ho creato un file chiamato npm-shrinkwrap.json:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

npm dovrebbe raccoglierlo automaticamente mentre esegue l'installazione per il progetto.

(Vedi: https://nodejs.org/en/blog/npm/managing-node-js-dependencies-with-shrinkwrap/ )

Per quelli a partire dal 2018 e oltre, utilizzando npm versione 5 o successive: modifica il tuo package-lock.json: rimuovi la libreria dalla "requires"sezione e aggiungila in "dipendenze".

Ad esempio, si desidera che il deglobpacchetto utilizzi la globversione del pacchetto 3.2.11anziché quella corrente. Apri package-lock.jsone vedi:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "glob": "7.1.2",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  }
},

Rimuovi "glob": "7.1.2",da "requires", aggiungi "dependencies"con la versione corretta:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  },
  "dependencies": {
    "glob": {
      "version": "3.2.11"
    }
  }
},

Ora rimuovi la tua node_modulescartella, esegui npm installe aggiungerà parti mancanti alla "dependencies"sezione.

Per quelli che usano filati.

Ho provato a usare npm shrinkwrap fino a quando ho scoperto che il filo cli ha ignorato il mio file npm-shrinkwrap.json.

Per questo filato ha https://yarnpkg.com/lang/en/docs/selective-version-resolutions/ . Neat.

Dai un'occhiata anche a questa risposta: https://stackoverflow.com/a/41082766/3051080

Ho riscontrato un problema a causa del quale una delle dipendenze nidificate presentava una vulnerabilità di controllo npm, ma volevo comunque mantenere la versione di dipendenza principale. la soluzione npm shrinkwrap non ha funzionato per me, quindi cosa ho fatto per sovrascrivere la versione di dipendenza nidificata:

1. Rimuovere la dipendenza nidificata nella sezione "richiede" in package-lock.json
2. Aggiungi la dipendenza aggiornata in DevDependencies in package.json, in modo che i moduli che la richiedono siano ancora in grado di accedervi.
3. npm i

La termoretraibile NPM offre una buona soluzione a questo problema. Ci consente di sovrascrivere quella versione di una particolare dipendenza di un particolare sottomodulo.

In sostanza, quando si esegue npm install, npm cercherà innanzitutto nella directory principale per vedere se esiste un file npm-shrinkwrap.json. In tal caso, utilizzerà prima questo per determinare le dipendenze dei pacchetti, quindi tornerà al normale processo di elaborazione dei file package.json.

Per creare un npm-shrinkwrap.json, tutto ciò che devi fare è

 npm shrinkwrap --dev

codice:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

Ho trovato una soluzione che ha funzionato per me.

Così. Prima modifica il tuo file npm-shrinkwrap.json come raccomandato da tutte le altre soluzioni.

Quindi, (su Windows):

• Fare clic con il tasto destro del mouse sul file 'npm-shrinkwrap.json'
• Proprietà
• In Attributi seleziona "Sola lettura". Ciò impedirà a npm di modificare il file mpn-shrinkwrap.json.

Le altre soluzioni proposte sono abbastanza buone se si esegue l'operazione 'npm install' una sola volta. Ma dopo la prima 'npm install' il file 'npm-shrinkwrap.json' viene nuovamente modificato come prima della modifica.