如何阻止子目录test-app引用父目录的node_modules目录？

问题背景 #

现有目录结构如下：

main-app
├── node_modules
├── package.json
└── test-app
   ├── node_modules
   └── package.json

test-app拥有独立的package.json，但将其移动到/tmp/test-app这类独立目录时启动失败——原因是它实际依赖了父目录main-app的node_modules来补全自身缺失的依赖，导致无法判断它是否能真正独立运行。

我们需要实现两个目标：

• 彻底禁止test-app引用上层目录的../node_modules
• 当test-app所需依赖未在自身package.json中声明时，直接触发报错

系统配置：node 16.19.1

可行解决方案 #

1. 用NODE_PATH环境变量锁定模块查找路径 #

Node.js默认会向上遍历所有父目录查找node_modules，我们可以通过设置NODE_PATH为当前项目的node_modules路径，强制Node只在本地查找依赖。

• 直接在命令行执行：

NODE_PATH=./node_modules node your-entry-file.js

• 或者在test-app的package.json的scripts里配置：

{
  "scripts": {
    "start": "NODE_PATH=./node_modules node index.js"
  }
}

2. 使用npm的--no-local参数（npm 7及以上支持） #

如果用npm启动项目，添加--no-local参数就能禁止npm向上查找父目录的node_modules：

npm start --no-local

也可以直接把参数写到scripts里，方便日常使用：

{
  "scripts": {
    "start": "node index.js",
    "start:strict": "npm start --no-local"
  }
}

3. 手动修改module.paths限制搜索范围 #

在test-app的入口文件最顶部添加以下代码，覆盖Node默认的模块搜索路径，只保留当前项目的node_modules：

// 放在入口文件第一行
const path = require('path');
module.paths = [path.resolve(__dirname, 'node_modules')];

这样Node.js只会在当前项目的node_modules里找依赖，找不到就直接抛出模块不存在的错误。

4. 换用pnpm管理依赖 #

pnpm默认采用隔离的依赖存储机制，每个项目的依赖都是独立的，根本不会向上查找父目录的node_modules。只需要替换成pnpm执行命令：

pnpm install
pnpm start

这种方式从根源上解决了跨项目依赖共享的问题，适合需要严格隔离的场景。

内容的提问来源于stack exchange，提问作者megeton