如何强制Yarn Classic解析指定版本的深层依赖

问题背景 #

项目的devDependencies配置如下：

"devDependencies": {
    "svg-chameleon": "^0.5.2",
}

其中svg-chameleon@0.5.2依赖svg-sprite@^1.5.0，而svg-sprite又依赖存在GHSA-crh6-fp67-6883漏洞的@xmldom/xmldom@^0.7.5。由于所有依赖均采用宽松版本号（^），理论上可将@xmldom/xmldom升级至0.7.7及以上版本修复漏洞，但因无法升级svg-chameleon，遂在package.json中添加resolutions字段指定版本：

"devDependencies": {
    "svg-chameleon": "^0.5.2",
},
"resolutions": {
    "@xmldom/xmldom": "0.7.7"
},

但执行yarn install甚至yarn upgrade @xmldom/xmldom后，依赖版本仍未变更，执行yarn why @xmldom/xmldom显示：

$ yarn why @xmldom/xmldom
yarn why v1.22.19
=> Found "@xmldom/xmldom@0.7.5"

操作疏漏分析 #

1. Yarn Classic默认不会主动覆盖已安装的依赖版本，仅添加resolutions字段后执行普通yarn install无法触发版本替换
2. 本地Yarn缓存了旧版本的@xmldom/xmldom，导致安装时优先使用缓存文件而非拉取指定的新版本

强制版本替换步骤 #

1. 清理目标依赖缓存 #

执行命令清理@xmldom/xmldom的缓存：

yarn cache clean @xmldom/xmldom

若需清理全部缓存（适用于缓存问题排查），可执行：

yarn cache clean

2. 强制重新安装依赖 #

执行带--force参数的安装命令，强制Yarn按照resolutions配置重新构建依赖树：

yarn install --force

3. 验证替换结果 #

再次执行以下命令确认版本是否更新：

yarn why @xmldom/xmldom

或直接查看项目根目录下的yarn.lock文件，搜索@xmldom/xmldom，确认版本已变为0.7.7。

备选方案（彻底重置依赖） #

若上述步骤无效，可删除本地依赖文件和锁文件后重新安装：

rm -rf node_modules
rm yarn.lock
yarn install

内容的提问来源于stack exchange，提问作者Greg