生产环境CI/CD中启用legacy-peer-deps是否安全？有无替代方案？

1. 生产环境CI/CD流水线启用legacy-peer-deps是否安全？ #

启用这个配置是让npm回到v6的peer依赖处理逻辑——不再把peer依赖不匹配判定为错误，仅抛出警告。安全性得结合实际情况判断：

• 如果react-collapsed@3.6.0实际在React 18下能正常运行（很多库只是没及时更新peer依赖声明，但代码本身兼容），那启用后没问题，但必须先做充分测试：跑单元测试、集成测试，验证折叠组件的渲染、交互逻辑是否正常，有没有hooks报错、生命周期异常这类问题。
• 风险点：如果react-collapsed@3.6.0的代码确实依赖React 17的特定API（比如旧版并发模式API、已废弃的生命周期），那在React 18下可能出现隐蔽bug，这种情况就不安全。

2. 避免类似依赖冲突的其他替代方案 #

• 锁定react-collapsed的具体版本：把package.json里的版本从^3.3.0改成3.3.0，这样npm只会安装3.3.0版本，不会自动升级到不兼容的3.6.0，从根源解决冲突。后续可以等官方发布支持React 18的版本后再考虑升级。
• 用npm overrides强制兼容：如果想升级到3.6.0，可在package.json中添加overrides字段（npm 8.3及以上版本支持），强制让react-collapsed适配你的React版本：

  "overrides": {
    "react-collapsed": {
      "react": "^18.2.0",
      "react-dom": "^18.2.0"
    }
  }
  

  注意：这么做后一定要测试组件兼容性，确保没有异常。
• 等待官方修复peer依赖：去react-collapsed的代码仓库提交issue，提醒维护者更新peer依赖声明支持React 18，等官方发布兼容版本后再升级。
• 降级React版本（不推荐，成本高）：如果项目对React 18的特性没有强依赖，可以考虑降级到React 17.x版本，匹配react-collapsed@3.6.0的peer要求，但这个方案需要修改项目依赖，还要验证所有其他组件的兼容性，成本较高。

内容的提问来源于stack exchange，提问作者David