如何配置npm以阻止安装包含指定依赖（含依赖链内）的软件包

npm 原生暂未内置你提到的直接在 package.json 中配置 prevent 字段、拦截含指定依赖（含全依赖链任意层级的依赖）的包安装的官方能力，不过可以通过以下几种简便方案完全实现该需求：

方案1：自定义配置实现你示例中的 prevent 字段逻辑 #

该方案完全匹配你想要的配置方式，不需要额外安装第三方工具，仅需在 package.json 中添加少量配置即可：

{
  "prevent": ["rc@1.2.9"],
  "scripts": {
    "preinstall": "node -e \"const cfg = require('./package.json'); const blockList = cfg.prevent || []; for(const rule of blockList) { const [pkgName, pkgVer] = rule.split('@'); try { const installedPkg = require(`${pkgName}/package.json`); if (installedPkg.version === pkgVer) { console.error('命中禁止依赖规则:', rule); process.exit(1); } } catch(err) {} }\""
  }
}

只要你把需要阻止的包名+版本填到 prevent 数组里即可，安装时只要全依赖链中命中任意一条规则，安装流程会直接报错终止。

方案2：使用 overrides 字段变相实现拦截 #

如果不想写自定义脚本，可以用 npm 原生支持的 overrides 字段，把要禁止的依赖版本强制指向不存在的虚拟包，安装时命中规则就会自动报错：

{
  "overrides": {
    "rc@1.2.9": "npm:non-exist-pkg-xxxx@0.0.1"
  }
}

该方案配置更简单，适合不需要批量管理大量阻止规则的场景。

方案3：团队统一管控方案 #

如果是企业/团队项目需要统一规则，可以在项目级或全局 .npmrc 中配置依赖审计规则，配合内部 npm 私服的黑名单拦截能力，实现全团队所有项目统一的依赖阻止逻辑，无需每个项目单独配置。

内容的提问来源于stack exchange，提问作者azmd108