如何强制npm仅安装发布时长不低于X周的包（含传递依赖）

可行方案汇总 #

1. 自定义检查脚本+npm钩子 #

自己编写Node.js脚本，挂在npm的preinstall钩子上，在安装前自动校验所有依赖（包括传递依赖）的发布时长：

• 编写脚本check-publish-age.js，核心逻辑：
  1. 解析package-lock.json获取所有依赖的包名和版本号
  2. 调用npm仓库API（如https://registry.npmjs.org/<包名>/<版本号>）拉取对应版本的发布时间
  3. 计算发布时间与当前时间的间隔，判断是否满足≥X周的要求
  4. 只要有一个包不达标，直接抛出错误终止安装
• 在项目package.json中添加钩子："preinstall": "node check-publish-age.js"

2. 借助第三方工具校验 #

使用npm-age这类工具，它支持检查包的发布时长，通过配置参数设置允许的最小发布周期，并且能覆盖传递依赖。可以把它加入preinstall脚本或者CI流程中，强制执行校验。

3. CI流水线兜底校验 #

在CI/CD流程里加一个专门的步骤：安装完成后运行检查脚本，遍历所有已安装依赖的发布时间，一旦发现不符合要求的包就阻断部署。这种方式可以作为本地校验的补充，避免有人绕过本地钩子。

关键注意点 #

• 脚本里要加缓存机制，避免频繁请求npm仓库导致被限流
• 如果用私有npm仓库，需要把API地址替换成私有仓库的地址
• 提前校验package-lock.json里的锁定版本，确保每次安装的都是合规版本

内容的提问来源于stack exchange，提问作者AnonBird