R包开发：如何隐藏导入的shiny、ggplot2等依赖方法不对外暴露

你当前NAMESPACE中存在import(shiny)配置，这行语句会将shiny包所有对外导出的函数全量导入到P包的命名空间，再加上零散importFrom导入的ggplot2等包的方法，会导致两类暴露问题：

• 如果依赖被放在Depends字段，包加载时依赖会直接挂载到全局搜索路径，用户输入函数名即可直接调用
• 即使用Imports字段，导入的函数会存在于P包的命名空间环境中，用户可通过P::函数名()的方式访问到这些不属于P自主开发的方法

推荐按隔离程度选择以下两种方案，都符合CRAN包开发规范，不需要使用require()动态加载包（该方案会增加依赖缺失风险、拖慢运行速度，不推荐）。

方案1：精确导入（平衡开发效率与隔离性） #

适合需要大量调用shiny函数、不想每次都写shiny::前缀的场景，能避免全量导入暴露多余方法：

• DESCRIPTION配置保持不变：所有依赖包（shiny、ggplot2等）统一放在Imports字段，绝对不要移到Depends字段，避免依赖被直接挂载到全局搜索路径。
• 删除NAMESPACE中的import(shiny)全量导入语句，后续也不要在Roxygen注释中使用@import shiny标签，避免重新生成全量导入配置。
• 只针对你代码中实际用到的依赖函数，使用@importFrom 包名 函数名1 函数名2 ...的Roxygen标签做精确导入，比如你在某个shiny界面文件中用到12个shiny函数，就在文件顶部统一写一次标签导入这12个函数即可，不需要每个函数单独导入。
• 重新运行devtools::document()生成新的NAMESPACE文件，此时NAMESPACE中只会存在你明确指定的importFrom语句，没有多余的全量导入。

该方案下，普通用户无法直接输入函数名调用依赖方法，也无法通过P::函数名()（双冒号，官方推荐的对外接口调用方式）访问到导入的依赖函数；只有使用P:::函数名()（三冒号，R官方明确不推荐终端用户使用的内部对象访问方式）才能读到，符合R包的常规开发惯例。

方案2：全::内部调用（最严格隔离） #

如果要彻底杜绝用户通过任何双冒号方式访问依赖方法，用这个方案：

• DESCRIPTION配置保持不变，依赖全部留在Imports字段。
• 删除NAMESPACE中所有针对shiny、ggplot2、ggpubr等你不想暴露的依赖包的import、importFrom语句，同时删除R代码中对应的@import、@importFrom标签。
• 包内所有调用依赖包函数的位置，全部写全包名::函数名()格式，示例如下：

  # 原写法
  ggplot(data, aes(x=x, y=y)) + geom_point()
  # 修改后写法
  ggplot2::ggplot(data, ggplot2::aes(x=x, y=y)) + ggplot2::geom_point()
  

  # 原写法
  tagList(NS("id", "input"))
  # 修改后写法
  shiny::tagList(shiny::NS("id", "input"))
  

• 重新运行devtools::document()更新NAMESPACE即可。

该方案下，依赖包的函数完全不会进入P包的命名空间，用户既不能直接调用函数，也无法通过P::函数名()访问任何依赖方法，只有包内部代码可以通过::定位到依赖包的函数正常运行。

你当前的DESCRIPTION Imports配置不需要调整，只需要修改NAMESPACE和对应Roxygen注释：

• 首先删除NAMESPACE第一行import(shiny)，全局搜索R代码删除所有@import shiny注释，这是暴露shiny方法的核心原因
• 如果选方案2，删除NAMESPACE中以下行，同时删除对应Roxygen标签：

  importFrom(ggplot2,aes)
  importFrom(ggplot2,geom_point)
  importFrom(ggplot2,ggplot)
  importFrom(ggplot2,ggsave)
  importFrom(ggplot2,labs)
  importFrom(ggpubr,theme_pubr)
  importFrom(shiny,NS)
  importFrom(shiny,shinyApp)
  importFrom(shiny,tagList)
  

• 保留其他依赖的导入配置即可，比如deSolve、golem、utils相关的导入，如果这些方法你也不想暴露，同样删掉改用::调用
• 你自主开发的、需要开放给用户的函数，正常保留@export标签即可，这些函数会正常作为P包的对外接口供用户调用。

内容的提问来源于stack exchange，提问作者Carter Hall