如何避免在发布npm包时包含已打包依赖的引用？

你遇到的核心问题是：本地未发布的依赖已经被rollup打包进主包，但package.json里的依赖引用还在，导致用户安装时会尝试拉取不存在的包。下面是几种实用的解决方法，不需要依赖第三方工具：

• 用npm prepare脚本自动清理依赖
  利用npm发布前自动执行prepare脚本的机制，写个简单的Node脚本修改package.json：

  1. 项目根目录新建clean-local-deps.js脚本：

     const fs = require('fs');
     const pkgPath = './package.json';
     const pkg = require(pkgPath);
     
     // 替换成你要移除的本地依赖名称
     const localDependencies = ['localPackage'];
     localDependencies.forEach(dep => {
       if (pkg.dependencies?.[dep]) {
         delete pkg.dependencies[dep];
       }
     });
     
     fs.writeFileSync(pkgPath, JSON.stringify(pkg, null, 2), 'utf8');
     

  2. 在package.json的scripts里添加：

     "scripts": {
       "prepare": "node clean-local-deps.js",
       "restore-deps": "git checkout package.json"
     }
     

     这样执行npm publish时，prepare脚本会自动删掉指定的本地依赖引用。开发时如果误触发了prepare，直接运行npm run restore-deps就能恢复原package.json（前提是你用git管理代码）。

• 手动打包并修改发布包
  如果不想用脚本，也可以手动处理发布包：

  1. 先执行npm pack生成原始的发布压缩包（比如your-package-1.0.0.tgz）
  2. 解压这个包：tar -xzf your-package-1.0.0.tgz
  3. 进入解压后的package目录，修改package.json，删除不需要的本地依赖
  4. 重新打包：cd package && tar -czf ../your-package-clean.tgz .
  5. 发布清理后的包：npm publish your-package-clean.tgz

• 关于本地依赖是否需要发布
  完全不需要。只要你已经通过rollup把本地依赖的代码打包进了主包的最终产物里，就可以安全移除package.json里的对应依赖引用，下游用户安装时不会有问题。

内容的提问来源于stack exchange，提问作者adevart