为何npm-remote-ls未列出node-gyp package.json中的exponential-backoff依赖？

一、遗漏依赖的原因 #

npm-remote-ls的核心逻辑是从npm registry拉取包的元数据来解析依赖，但存在两个关键问题：

• 包维护停滞：这个工具最后一次更新是2021年，对新的npm依赖格式、版本范围处理存在缺陷，无法正确识别node-gyp@9.3.1里的exponential-backoff依赖。
• 元数据解析bug：即使npm registry的元数据包含该依赖，它的解析逻辑也可能因为版本范围（比如^3.1.1）或者依赖类型的处理疏漏，导致跳过了这个依赖项。

二、调整现有脚本的尝试（效果有限） #

如果一定要用npm-remote-ls，可以试试以下调整：

• 强制指定官方npm registry源，避免源数据不一致：

  let ls = require('npm-remote-ls').ls
  let config = require('npm-remote-ls').config
  config({
    development: false,
    optional: true,
    registry: 'https://registry.npmjs.org/'
  })
  ls('node-gyp','9.3.1',console.log)
  

• 单独测试解析exponential-backoff@^3.1.1，确认工具是否能识别该依赖本身，判断是全局解析问题还是针对node-gyp的特殊情况。

但由于工具本身的维护状态，这些调整大概率无法彻底解决问题，更推荐用下面的替代方案。

三、更简便的完整依赖获取方法 #

1. 直接用npm官方CLI命令 #

不需要写脚本，一行命令就能拿到完整的生产依赖树：

npm ls node-gyp@9.3.1 --json --production

这个命令直接从官方registry拉取元数据，输出JSON格式的完整依赖结构，不会遗漏任何生产依赖。

2. 使用活跃维护的第三方包 #

比如dependency-tree，它支持远程解析npm包的依赖树，维护更频繁，处理逻辑更可靠：
先安装包：

npm install dependency-tree

然后运行脚本：

const dependencyTree = require('dependency-tree');

dependencyTree({
  package: 'node-gyp',
  version: '9.3.1',
  registry: 'https://registry.npmjs.org/',
  onlyProduction: true
}).then(tree => {
  console.log(JSON.stringify(tree, null, 2));
}).catch(err => {
  console.error(err);
});

内容的提问来源于stack exchange，提问作者Lee