shadow-cljs.edn中ClojureScript依赖声明差异及简写风险问询

依赖解析的底层逻辑 #

shadow-cljs 基于 Clojure 官方的 tools.deps 系统处理依赖，核心遵循 Maven 坐标规则：

• 完整写法：[group-id/artifact-id "version"]，比如 venantius/accountant 里，venantius 是作者/组织的标识（group ID），accountant 是仓库名（artifact ID），指向完全明确。
• 简写写法：[artifact-id "version"]，此时工具会默认将 group ID 等同于 artifact ID，即等价于 [artifact-id/artifact-id "version"]。

歧义问题真的存在吗？ #

确实存在风险。Clojars 这类公共仓库允许不同作者注册独立的 group ID，如果有人抢注了某官方库的 artifact ID 作为自己的 group ID，并发布同名 artifact，使用简写写法就会意外拉取错误的依赖。

比如你提到的 bidi：官方维护的版本是 juxt/bidi，但 Clojars 上存在一个2013年更新的旧包 bidi/bidi。如果写 [bidi "2.1.5"]，实际拉取的是这个旧包，而非 Juxt 发布的正版——这就是典型的歧义场景。

简写是不良实践吗？ #

不能一概而论：

• 如果官方库本身就是以 artifact-id/artifact-id 的坐标发布（比如 reagent、garden），简写既安全又简洁，完全没问题。
• 但如果官方库使用了不同的 group ID（比如 juxt/bidi、com.andrewmcveigh/cljs-time），简写就可能拉错依赖，这时候就是不推荐的写法。

最佳实践建议 #

• 优先使用完整坐标，明确指定 group ID 和 artifact ID，从根源上避免歧义。
• 不确定依赖坐标时，直接查阅官方文档或 Clojars 上的库详情。
• 可通过 shadow-cljs dependency-tree 命令查看依赖树，确认实际拉取的包是否符合预期。

内容的提问来源于stack exchange，提问作者Pedro Delfino