如何从lockfileVersion=3的package-lock.json获取已安装包版本

问题说明 #

升级到Node 18（配套npm 9）后，package-lock.json的lockfileVersion从2升级到3，最核心的变化是移除了顶层的dependencies节点。之前通过parsedPackageLockJSON.dependencies['dependency1'].version获取实际安装版本的逻辑彻底失效，而packages[''].dependencies['dependency1']只能拿到package.json里的版本范围（比如^1.2.3），不是实际安装的具体版本。

可靠的解决方案 #

使用node_modules/[依赖名]路径是安全的 #

npm 9生成的lockfile v3里，所有依赖的实际安装信息（包括版本、下载地址、校验值）都统一存在packages对象下，键名固定为node_modules/[依赖名]：

• 顶级依赖的键就是node_modules/[依赖名]
• 嵌套依赖的键会是node_modules/[父依赖]/node_modules/[子依赖]这种完整路径

所以直接通过packages['node_modules/dependency1'].version获取版本是完全可靠的，这是npm官方定义的lockfile v3结构规范，不会随意变更。

兼容lockfile v2和v3的通用代码 #

如果需要同时处理两种版本的lockfile，可以写个简单的兼容逻辑：

function getActualDepVersion(lockfileData, depName) {
  // 优先处理lockfile v3
  const depKey = `node_modules/${depName}`;
  if (lockfileData.packages?.[depKey]) {
    return lockfileData.packages[depKey].version;
  }
  // 兼容lockfile v2
  if (lockfileData.dependencies?.[depName]) {
    return lockfileData.dependencies[depName].version;
  }
  // 依赖不存在时返回null或按需抛出错误
  return null;
}

关于npm ls的替代方案 #

npm ls --json确实能拿到依赖版本，但它必须依赖本地已安装的node_modules目录。如果是克隆仓库后直接读取lockfile，完全不需要执行npm install就能获取准确版本，没必要额外构建生成node_modules，直接解析lockfile是最高效的方式。

内容的提问来源于stack exchange，提问作者mellis481