在client目录外执行npm install致客户端依赖损坏如何解决

• 首先你踩了最常见的一个坑：npm仓库里的crypto包是废弃超过10年的第三方旧包，Node.js本身从早期版本就内置了crypto核心模块，服务端代码直接引入就能用，根本不需要单独安装。这个废弃包自带一堆过时依赖，本身就会和现代前端工具链的依赖产生冲突。
• 其次是npm默认的依赖提升机制没有做隔离：npm v3及以上版本执行install时，会默认递归扫描当前目录下所有子目录的node_modules和package.json，尝试把可以复用的依赖提升到当前目录的node_modules下，过程中会修改子目录依赖的软链接结构。你在根目录装包时，npm会直接改动client目录下的依赖树，加上废弃crypto包的冲突依赖，直接导致client端构建时找不到对应版本的包、或者错误加载根目录下的冲突版本，表现出来就是依赖损坏、应用跑不起来，必须重装client依赖才能恢复。

1. 先清理已经污染的依赖环境
   • 打开根目录的package.json，把dependencies/devDependencies里的crypto条目删掉
   • 分别删除根目录、client目录下的node_modules文件夹和package-lock.json锁文件
2. 配置依赖隔离，避免后续根目录装包影响client
   两种方案选一个就行：
   • 如果你不需要做monorepo统一管理，直接在根目录新建.npmrc文件，写入workspaces=false，之后在根目录执行npm install时，npm不会递归扫描处理子目录的依赖，完全不会动client下的文件。
   • 如果你后续想统一管理前后端依赖，就显式配置npm工作区：在根目录package.json里添加"workspaces": ["client"]配置，之后装服务端依赖直接在根目录执行npm install <包名>，装客户端依赖执行npm install <包名> -w client，npm会按规范处理依赖提升，不会出现乱改依赖树的问题。
3. 重新安装依赖
   • 根目录执行npm install安装服务端依赖，注意永远不要再单独装crypto包，服务端要用加密能力直接写const crypto = require('crypto')（CommonJS）或者import crypto from 'node:crypto'（ESM）引入内置模块即可。
   • 进入client目录执行npm install安装客户端依赖，之后应用就能正常运行，后续根目录装其他服务端依赖也不会再损坏client的依赖。

补充说明：如果client是用create-react-app、Vite之类的工具搭建的，构建时默认会从当前目录向上查找node_modules加载依赖，只要根目录和client目录的依赖没有做隔离，哪怕你装的不是废弃crypto包，只要出现同名包版本不一致的情况，都大概率会导致客户端构建异常。

内容的提问来源于stack exchange，提问作者Richardson