如何在package.json中将GitLab私有分支作为依赖引入

包管理器的本地缓存、lock文件锁定旧提交哈希，是导致即便删除node_modules重装仍然拉取旧代码的核心原因，按以下步骤处理即可：

• 第一步：验证远程分支有效性
  先单独拉取指定分支确认代码符合预期，排除分支名拼写错误、改动未推送至远程的问题：

  git clone -b <specific_branch_name> https://oauth2:<my_access_token>@gitlab.com/<path_to_repository>
  

  进入clone后的目录核对代码内容，确认是你需要的版本。
• 第二步：清除对应依赖的锁记录
  包管理器的lock文件会锁定git依赖的实际提交哈希，修改分支配置后需要删除锁文件中对应依赖的条目，或直接删除整个lock文件（会重置所有依赖版本，按需选择）：
  • npm：删除package-lock.json中@dependency对应的整段配置，或直接删除package-lock.json
  • yarn：删除yarn.lock中@dependency对应的整段配置，或直接删除yarn.lock
  • pnpm：删除pnpm-lock.yaml中@dependency对应的整段配置，或直接删除pnpm-lock.yaml
• 第三步：清理包管理器本地缓存
  包管理器会缓存已拉取过的git依赖包，清理后才会重新从远程拉取最新代码：
  • npm 执行：npm cache clean --force
  • yarn 执行：yarn cache clean @dependency（替换为实际依赖名）
  • pnpm 执行：pnpm cache delete @dependency（替换为实际依赖名）
• 第四步：强制重装依赖
  执行安装命令时添加强制参数，跳过本地缓存校验：
  • npm 执行：npm install --force
  • yarn 执行：yarn install --force
  • pnpm 执行：pnpm install --force

可选优化方案 #

如果需要固定拉取某个特定提交，可以直接把package.json中#后的分支名替换为对应提交的完整哈希，避免分支更新后意外拉到不想要的改动，格式如下：

"dependencies": {
  "@dependency": "git+https://oauth2:<my_access_token>@gitlab.com/<path_to_repository>#<commit_full_hash>"
}

内容的提问来源于stack exchange，提问作者Robert Jones