如何强制指定依赖版本？如何安全统一所有npm包的依赖版本？

• 直接修改package.json中的版本号：去掉版本前的^或~符号，写成精确版本，比如把"lodash": "^4.17.0"改为"lodash": "4.17.21"，执行npm install后就会安装该精确版本。
• 使用命令行指定版本安装：运行npm install <package-name>@<version>，例如npm install lodash@4.17.21，此命令会自动更新package.json和package-lock.json到指定版本。
• 若锁文件导致版本不生效，可删除package-lock.json（或yarn.lock）后重新执行npm install，但注意此操作会更新所有依赖的锁文件，建议先备份。

针对你提到的“部分包拉取旧版本依赖，需统一升级至最新版本”的场景，可按以下方案操作：

1. 用npm的overrides强制统一版本（npm 8.3+适用） #

在项目根目录的package.json中添加overrides字段，指定要统一的依赖版本：

{
  "overrides": {
    "lodash": "^4.17.21" // 替换成你需要的最新版本
  }
}

添加后执行npm install，npm会强制整个依赖树中所有嵌套的lodash都使用指定版本。

2. 用yarn/pnpm的resolutions（yarn 1.x/2+、pnpm支持） #

如果使用yarn，在package.json中添加resolutions字段：

{
  "resolutions": {
    "lodash": "^4.17.21"
  }
}

执行yarn install即可生效；pnpm则使用pnpm.overrides字段，语法类似npm的overrides。

3. 安全升级所有依赖到最新版本 #

• 先检查项目中过时的依赖：运行npm outdated，查看所有有新版本的包及其当前版本、最新版本信息。
• 升级单个包到最新：运行npm install <package-name>@latest，例如npm install lodash@latest，此命令会将该包升级到最新稳定版，并更新package.json和锁文件。
• 批量升级（需谨慎）：若要升级所有符合package.json版本范围的依赖，可运行npm update；但如果要突破版本范围升级到最新版，需逐个执行npm install <package-name>@latest，避免批量升级引入兼容性问题。

安全注意事项 #

• 强制统一版本或升级前，务必在测试环境验证项目功能，新版本可能包含破坏性变更（breaking changes）。
• 升级完成后，运行npm ls <package-name>（如npm ls lodash），确认所有嵌套依赖的版本是否已统一为指定版本。
• 提交代码前，检查package-lock.json（或yarn.lock）的变更，确保依赖版本符合预期。

内容的提问来源于stack exchange，提问作者pilotguy