为何npm安装的依赖版本与指定版本不符？工作空间疑问解析

项目结构 #

/
/package.json                 /* 工作区根目录 */
/server/
/server/package.json          /* 直接依赖 "is-plain-object": "^5.0.0" */
/client/        

执行命令 npm i --workspace server 后，生成了两个独立的node_modules文件夹：

/node_modules/
/server/node_modules/

根目录的/node_modules/is-plain-object/为5.0.0版本，而/server/node_modules/is-plain-object/是2.0.4版本。查看根目录lockfile可知：server的部分依赖声明了对"is-plain-object": "^2.0.3"的需求，其他依赖则依赖"is-plain-object": "^5.0.0"。

运行应用时，octokit抛出错误：

TypeError: isPlainObject.isPlainObject is not a function

排查发现：2.0.4版本使用默认导出目标函数，5.0.0版本使用命名导出，而octokit代码需要的是命名导出，推测它解析到了2.0.4版本。

疑问解答 #

1. 已指定5.0.0版本，为何仍拉取2.0.4版本？ #

因为server的间接依赖里有包声明了对is-plain-object@^2.0.3的依赖，这个版本范围和你直接指定的^5.0.0不兼容（语义化版本中主版本号不同意味着存在不兼容变更）。npm会为不兼容的版本需求分别安装对应包，确保每个依赖都能获取到自己需要的版本，不会强制所有依赖共用同一个主版本。

2. npm是否有机制解决同一仓库中依赖包存在不兼容依赖的情况？ #

有几种可行方式：

• npm dedupe命令：尝试合并兼容的依赖版本，减少重复安装，但如果版本范围完全不兼容（比如主版本差异），该命令无法合并。
• overrides字段：在根目录package.json中通过overrides强制指定所有依赖使用同一版本的is-plain-object，示例配置：

  "overrides": {
    "is-plain-object": "^5.0.0"
  }
  

  注意这可能导致依赖旧版本的包出现问题，需要测试验证兼容性。
• resolutions字段：npm从v8.3.0开始支持，功能和overrides类似，用于强制锁定依赖版本。

3. 重复的node_modules文件夹有何作用？ #

这是npm的依赖隔离机制：

• 根目录的node_modules存放工作区中多个子项目共享的兼容依赖，或仅根项目需要的依赖。
• 子目录/server/node_modules存放仅能被server项目使用、且与其他依赖版本不兼容的包，避免不同版本的依赖互相干扰，确保每个依赖都能加载到自己预期的版本。

内容的提问来源于stack exchange，提问作者Rollie