在NPM Workspaces/Monorepo中使用"*"作为本地依赖版本是否可行？是否存在问题？

嘿，我来帮你拆解这几个npm依赖配置的常见问题：

1. 这种"*"写法是否可接受？ #

对于本地开发场景（比如你用npm link关联的自研本地包），这种写法是完全可以工作的，npm会优先识别本地关联的包，不会去远程仓库拉取，省去了每次修改本地包后手动更新版本号的麻烦，在快速迭代本地依赖的阶段挺实用。

但如果是生产环境或者团队协作场景，就需要谨慎对待——这个后面会说潜在风险。

2. 存在哪些潜在问题？ #

• 生产部署风险：如果不小心把这个配置推到生产环境，且部署环境没有预先关联对应的本地包，npm会尝试去公共npm仓库拉取my-local-dep的最新版本。如果这个包是私有未发布、或者根本不存在于公共仓库，直接会导致安装失败，部署翻车。
• 团队协作版本不一致：团队成员本地的my-local-dep版本可能不同（比如A刚改了本地包的逻辑，B还没同步），用*无法锁定版本，很容易出现“我本地跑正常，你本地就报错”的协作问题。
• 依赖排查难度增加：npm list输出或者package-lock.json里不会明确显示本地依赖的实际版本号，后续排查依赖相关bug时，会增加定位成本。

3. npm update写入0.0.1是否正常？ #

这完全是npm的正常行为！当你用*指向本地依赖时，npm update会尝试读取本地依赖包package.json里的版本号。如果本地包的版本号未设置、或者npm在解析时遇到模糊情况，它会默认在你的项目package.json里写入0.0.1作为占位版本号。这个行为是npm处理本地依赖时的默认逻辑，不用慌，但确实容易让人误以为是配置出了问题。

内容的提问来源于stack exchange，提问作者httpete