npm多版本依赖的存储位置与版本追踪机制问询

版本选择与安装逻辑 #

• npm 安装时会读取每个依赖包package.json中的版本约束（比如^1.0.1、~2.2.0这类范围），严格遵循语义化版本规则挑选符合约束的最新可用版本。
• 当不同依赖对同一个包的版本要求冲突时（比如一个需要>=2.0.0，另一个只兼容<=1.0.1），npm 不会强制统一版本，而是在存在冲突的依赖的子层级node_modules中单独安装冲突版本，保证每个依赖都能拿到自己需要的版本。

依赖的实际存储位置 #

你例子里找不到的json5@1.0.1，实际存在于tsconfig-paths自身的node_modules目录中，完整路径大致是：

./node_modules/eslint-plugin-import/node_modules/tsconfig-paths/node_modules/json5

你之前没发现，是因为只检查了eslint-plugin-import的直接子node_modules，但tsconfig-paths作为它的依赖，会把自己的嵌套依赖存在自己的node_modules里。

另外输出里的deduped标记，意思是这个json5@2.2.1已经在更高层级（根node_modules）存在，npm 会直接复用这个版本，不再重复安装，减少冗余。

版本追踪与调用保证 #

• Node.js 的模块查找机制决定了依赖调用的准确性：当某个包要引入依赖时，会先在自己的node_modules目录找，找不到就往父级目录的node_modules逐层查找，直到根目录。这就确保了每个包都能加载到符合自己版本要求的依赖。
• npm 安装完成后生成的package-lock.json（或npm-shrinkwrap.json）是关键：它精确记录了整个依赖树的每个包的版本、安装路径和哈希校验值，后续执行npm install时，会完全按照这个文件的内容还原依赖结构，避免出现版本不一致的问题。

内容的提问来源于stack exchange，提问作者Tanner Summers