依赖管理

dependencies

用途: 包含生产环境所需的运行时依赖。

示例: 常见框架和库如 react、axios。

注意事项:

• 定期更新依赖，但需注意版本升级可能引入的破坏性变更。
• 锁定版本号以避免不兼容问题。

面试题: 如何管理生产环境的依赖版本？

1. 定期更新，但需小心版本升级带来的破坏性变化。
2. 锁定版本号以避免不兼容问题。

---

devDependencies

用途: 仅在开发阶段使用的依赖，如构建工具和测试框架。

示例: 工具如 webpack、eslint、jest。

注意事项:

• 确保运行时依赖不被错误地放入 devDependencies，以免生产环境出错。
• 在 CI/CD 环境中通常只安装 devDependencies。

面试题: devDependencies 和 dependencies 有何区别？

1. devDependencies 是开发时所需的依赖，不会在生产环境中使用。
2. dependencies 是生产环境所需的依赖，会在生产环境中使用。

---

peerDependencies

用途: 用于声明插件或库所需的宿主环境依赖版本，确保与宿主应用共享相同的依赖版本，常用于开发插件或库。

示例: 一个依赖 react 的插件可能需要指定 react@>=17.0.0。

注意事项:

• 不会自动安装，用户需手动安装指定版本。
• 可与 peerDependenciesMeta 搭配使用，标记某些依赖为可选。

面试题: 为什么使用 peerDependencies？

1. 确保插件与宿主应用共享相同的依赖版本，避免版本冲突。
2. 需要用户手动安装，提供灵活性。
3. 可通过 peerDependenciesMeta 标记为可选依赖。

最佳实践: 在开发插件时，优先使用 peerDependencies 而非 dependencies，以避免重复安装和版本冲突。peerDependencies 允许插件声明所需的依赖版本范围，由宿主应用管理安装，确保一致性和兼容性。

---

resolutions

用途: 强制指定某个依赖的版本，常用于解决子依赖版本冲突。

示例:

"resolutions": {
  "lodash": "4.17.21"
}

注意事项:

• 仅适用于 Yarn。
• 解决版本冲突时，尽量联系相关包的维护者。

面试题: resolutions 的作用是什么？

1. 强制指定某个依赖的版本，解决子依赖版本冲突。
2. 仅适用于 Yarn。
3. 解决版本冲突时，尽量联系相关包的维护者。

最佳实践: 在开发插件时，优先使用 peerDependencies 来声明与宿主应用共享的依赖版本，以避免不必要的版本冲突和重复安装。这样可以确保插件在不同的宿主环境中保持一致性和兼容性。但是，如果确实需要强制指定某个依赖的版本，可以使用 resolutions。

---

版本锁定

面试题: 如何锁定依赖的版本？

1. 使用 resolutions 强制指定某个依赖的版本。
2. 使用 overrides 覆盖依赖的版本。
3. 使用 peerDependencies 声明与宿主应用共享的依赖版本。

最佳实践: 在开发插件时，优先使用 peerDependencies 来声明与宿主应用共享的依赖版本，以避免不必要的版本冲突和重复安装。这样可以确保插件在不同的宿主环境中保持一致性和兼容性。但是，如果确实需要强制指定某个依赖的版本，可以使用 resolutions。

---

团队中实践

常见问题:

1. 删除 node_modules 和 lockfiles 重新安装依赖是否可行？

   • 删除 node_modules 和 lockfiles 后重新运行 npm install 可以解决一些依赖问题，但并不是万能的解决方案。这样做可能会导致依赖版本发生变化，进而引发新的问题。因此，建议在尝试其他方法无效时再使用此方法。

2. 将所有依赖包都安装到 dependencies 中，对 devDependencies 不区分会有什么问题？

   • 将开发依赖（如测试框架、构建工具等）与生产依赖混在一起，会导致生产环境中安装不必要的包，增加应用体积，影响性能和安全性。因此，建议严格区分 dependencies 和 devDependencies。

3. 一个项目中，你使用 Yarn，我使用 npm，会有什么问题？

   • 使用不同的包管理工具可能会导致依赖版本不一致，进而引发兼容性问题。建议团队统一使用一种包管理工具，并在项目中明确规定。

4. lockfiles 文件是否需要提交到仓库中？

   • 是的，lockfiles 文件（如 package-lock.json 或 yarn.lock）需要提交到仓库中。它们能确保团队成员和 CI 环境中安装的依赖版本一致，避免“在我机器上没问题”的情况。

---