如何更新package-lock.json中作为嵌套依赖的trim-newlines版本

你之前执行npm i trim-newlines --package-lock-only仅会将trim-newlines安装为项目顶层依赖，不会修改嵌套在meow下的依赖版本约束，因此无法解决嵌套依赖的版本升级问题，可参考以下几种方案操作：

这是npm官方提供的嵌套依赖版本覆盖方案，操作简单兼容性好：

• 在你的package.json文件中新增overrides配置：
  如果你要统一所有依赖下的trim-newlines版本，直接写：

  {
    "overrides": {
      "trim-newlines": "^3.0.1"
    }
  }
  

  如果你只需要修改meow依赖下的trim-newlines版本，可以写得更精准：

  {
    "overrides": {
      "meow": {
        "trim-newlines": "^3.0.1"
      }
    }
  }
  

• 执行npm install重新安装依赖，npm会自动调整整个依赖树中trim-newlines的版本，同时更新package-lock.json。
• 执行npm ls trim-newlines验证所有trim-newlines实例的版本是否都≥3.0.1即可。

如果你的npm版本低于8.3.0不支持overrides，可以用第三方工具实现版本强制锁定：

• 在package.json中新增resolutions字段：

  {
    "resolutions": {
      "trim-newlines": "^3.0.1"
    }
  }
  

• 执行命令完成版本覆盖：npx npm-force-resolutions && npm install
• 同样用npm ls trim-newlines验证版本是否符合要求。

你当前使用的node-sass@5.0.0已经被官方废弃，官方早已推荐使用纯JS实现的sass包作为替代，不存在该嵌套依赖漏洞：

• 卸载废弃的node-sass：npm uninstall node-sass
• 安装官方维护的sass包：npm install sass --save-dev
  替换后原有sass相关的构建逻辑不需要做任何修改，同时可以彻底解决该依赖漏洞问题。

内容的提问来源于stack exchange，提问作者Brian Tang