能否更新或删除package-lock.json中的嵌套依赖包？

一、更新嵌套的make-fetch-happen（修复http-cache-semantics v4.1.0安全问题） #

由于make-fetch-happen是node-gyp的嵌套依赖，直接执行npm update无法更新这类深层依赖，推荐以下两种可靠方案：

方案1：使用npm overrides强制锁定安全版本（npm 8.3+支持） #

在项目根目录的package.json中添加overrides字段，直接指定http-cache-semantics的安全版本，或者升级make-fetch-happen到包含该安全版本的版本：

• 仅强制更新http-cache-semantics到安全版本（如v4.1.1及以上）：

"overrides": {
  "node-gyp": {
    "make-fetch-happen": {
      "http-cache-semantics": "^4.1.1"
    }
  }
}

• 直接升级make-fetch-happen到已修复依赖的版本（例如v11.1.1及以上版本已包含安全的http-cache-semantics）：

"overrides": {
  "node-gyp": {
    "make-fetch-happen": "^11.1.1"
  }
}

添加后执行npm install，npm会自动替换嵌套依赖中的不安全版本，同时更新package-lock.json。

方案2：升级node-gyp到最新版本 #

如果node-gyp的最新版本已经将make-fetch-happen更新到安全依赖版本，直接执行：

npm update node-gyp

此操作会自动更新node-gyp及其所有嵌套依赖到兼容的最新版本，包括修复http-cache-semantics的安全问题。

二、能否删除package-lock.json中的嵌套文件夹及包？ #

绝对不建议手动删除package-lock.json中的任何条目，原因如下：

• package-lock.json的核心作用是锁定项目依赖树的精确版本和结构，确保所有环境安装的依赖完全一致。
• 手动删除嵌套依赖条目会破坏依赖树的完整性，下次执行npm install时，npm可能重新拉取旧的不安全版本，或者导致依赖版本不匹配引发报错。

正确的处理方式是通过上述方案更新依赖，执行npm install后，package-lock.json会自动更新为包含安全版本的依赖树，旧的不安全条目会被自动替换或移除。

内容的提问来源于stack exchange，提问作者Aldrin Emperador