npm-force-resolutions安装新包时失效问题排查

首先，咱们得搞清楚核心问题出在哪：你用的npm-force-resolutions是第三方工具模拟Yarn的resolutions特性，但npm本身直到8.3版本才推出了官方的overrides字段来实现强制版本覆盖——这也是你遇到安装新包后版本被覆盖的主要原因：第三方工具的兼容性不如官方方案，而且在npm i <新包>这种场景下，它的处理逻辑可能没跟上npm重新计算依赖树的流程。

最可靠的解决方案：改用npm原生的overrides字段 #

如果你使用的是npm 8.3及以上版本，直接抛弃npm-force-resolutions和resolutions，改用官方支持的overrides字段，这是目前最稳定的强制版本覆盖方式：

1. 修改你的package.json，删除preinstall脚本和resolutions字段，替换成：

   "overrides": {
     "graceful-fs": "^4.2.4"
   }
   

2. 删除现有的node_modules和package-lock.json（或者npm-shrinkwrap.json），重新执行npm install。
3. 之后再安装任何新包（比如npm i random-package），npm都会自动强制整个依赖树中所有graceful-fs的实例使用你指定的^4.2.4版本，不会再出现低版本被覆盖的问题。

如果你必须使用旧版本npm（低于8.3） #

如果因为环境限制不能升级npm，那需要调整npm-force-resolutions的使用方式，确保它在所有install场景下都能正确生效：

1. 保留preinstall脚本，但确保它在每次install都触发：

   "scripts": {
     "preinstall": "npx npm-force-resolutions"
   }
   

   这里要注意：当你执行npm i <新包>时，npm会先运行preinstall脚本，但有时候npm-force-resolutions可能赶不上npm更新lock文件的速度，这时候你需要在安装新包后手动补一次：

   npm i random-package
   npx npm-force-resolutions
   npm install
   

2. 避免使用glob/**/graceful-fs这种嵌套路径写法，npm-force-resolutions对这种路径的支持并不稳定，直接写顶层的graceful-fs就能覆盖所有子依赖中的实例。
3. 如果你用了npm-shrinkwrap.json，每次修改resolutions或者安装新包后，必须重新生成shrinkwrap文件：

   npx npm-force-resolutions
   npm shrinkwrap
   

   并且确保npm-shrinkwrap.json被加入版本控制，这样后续安装时才会强制使用你指定的版本。

为什么之前的尝试无效？ #

• glob/**/graceful-fs：npm-force-resolutions的路径匹配逻辑并不像你预期的那样支持深度嵌套的通配符，直接指定顶层依赖名反而更可靠。
• 添加为dependency/devDependency：npm的依赖解析规则中，顶层依赖的优先级确实高于子依赖，但如果某个第三方包明确声明依赖低版本的graceful-fs，npm还是会为它单独安装一个低版本实例，除非用强制覆盖规则（overrides或resolutions）来干预。
• npm-shrinkwrap.json：如果生成shrinkwrap文件前没有先运行npm-force-resolutions，那么shrinkwrap里的版本还是旧的，安装新包时npm会基于旧的shrinkwrap重新计算，导致覆盖规则失效。

内容的提问来源于stack exchange，提问作者NthDegree