NPM Override未生效咨询：pdfjs-dist依赖版本冲突问题

问题背景 #

我正试图解决项目中pdf-viewer-reactjs@2.2.3与react-pdf@5.4.0所依赖的pdfjs-dist版本不一致导致的Worker版本问题。参考资料后在package.json中添加了如下overrides配置，试图覆盖pdf-viewer-reactjs@2.2.3依赖的"pdfjs-dist": "^2.6.347"：

"overrides": {
  "pdf-viewer-reactjs": {
    "pdfjs-dist": "$pdfjs-dist"
  }
}

但遇到两个问题：

1. 执行npm install后，package-lock.json和node_modules中仍使用2.6.347版本，override未生效，为何未使用package.json dependencies中指定的版本？
2. npm list --depth=1显示子依赖为正确版本，但node_modules/pdf-viewer-reactjs下自动生成的package.json中仍为2.6.347版本，这是为什么？

问题1：Override未生效的原因及解决办法 #

• 版本约束限制：pdf-viewer-reactjs@2.2.3对pdfjs-dist的依赖声明是^2.6.347，如果你dependencies里指定的版本不在这个范围（比如react-pdf@5.4.0通常依赖^2.10.377，已经超出^2.6.347的兼容范围），npm默认会优先尊重子依赖的版本约束，不会强制替换。
• 配置写法问题：别用$pdfjs-dist变量，直接在overrides里写死你要统一的版本号，同时确保dependencies里也声明了这个版本。示例配置：

  "dependencies": {
    "pdfjs-dist": "^2.10.377", // 和react-pdf依赖的版本保持一致
    "pdf-viewer-reactjs": "^2.2.3",
    "react-pdf": "^5.4.0"
  },
  "overrides": {
    "pdf-viewer-reactjs": {
      "pdfjs-dist": "^2.10.377"
    }
  }
  

• 缓存/lock文件干扰：删掉package-lock.json和node_modules，执行npm install或者npm ci重新安装，避免旧缓存导致的版本残留。

问题2：子目录package.json版本显示不一致的原因 #

• 子包package.json是原始文件：node_modules/pdf-viewer-reactjs里的package.json是从该包的npm发布包中直接提取的，npm的overrides机制不会修改这个文件——它只是让子包在运行时解析到项目根目录node_modules里的指定版本，而不是修改子包自身的依赖声明。
• 验证实际生效方式：检查node_modules/pdf-viewer-reactjs/node_modules目录，如果里面没有pdfjs-dist，说明它已经在使用根目录的统一版本了，此时npm list的输出是准确的，子包的package.json只是原始声明，不代表实际运行时用的版本。

内容的提问来源于stack exchange，提问作者Malsum