npm如何为同一依赖配置生产与开发环境的不同分支版本？

首先明确说：你的当前配置并不可行，而且会导致依赖版本不可预期的问题，npm的警告就是在提示你这个风险。

为什么当前配置不行？ #

npm 会把同名的包（不管是在dependencies还是devDependencies里）视为同一个依赖项，它不会同时安装两个不同版本/分支的同名包到node_modules中。实际安装时，npm 会根据自身的依赖解析规则选择其中一个版本（通常是dependencies里的生产版本，但也可能受安装顺序、缓存等影响），这就导致你无法稳定控制开发环境用dev分支、生产环境用主分支的需求，完全不符合你的预期。

可行的解决方案 #

方案1：利用 npm overrides 字段（推荐，npm 8.3+ 支持）

overrides 可以让你在开发环境下强制覆盖指定依赖的版本，生产环境下自动忽略这个覆盖，完美匹配你的需求。修改package.json如下：

{
  "dependencies": {
    "repo": "git+ssh://git@git.example.com:pack/repo.git"
  },
  "overrides": {
    "repo": "git+ssh://git@git.example.com:pack/repo.git#dev"
  }
}

• 当执行npm install（不带--production参数，即默认开发环境）：overrides会生效，npm 会安装repo的dev分支。
• 当执行npm install --production（生产环境）：overrides不会被应用，npm 会安装repo的主分支（你原来写的默认分支）。

这种方式不需要修改代码，也不会有重复依赖的警告，是最简洁的解决方案。

方案2：使用包别名 + 代码环境判断

如果你的 npm 版本低于8.3，无法使用overrides，可以用 npm 的包别名功能，给dev分支的包起一个不同的名字，然后在代码里根据环境判断引入哪个版本：

修改package.json：

{
  "dependencies": {
    "repo": "git+ssh://git@git.example.com:pack/repo.git"
  },
  "devDependencies": {
    "repo-dev": "git+ssh://git@git.example.com:pack/repo.git#dev"
  }
}

然后在你的项目代码中，根据环境变量判断引入：

// 示例：Node.js 环境下的引入方式
const repo = process.env.NODE_ENV === 'production' 
  ? require('repo') 
  : require('repo-dev');

这种方式需要修改代码，适合无法升级 npm 版本的场景，但要注意确保所有引入repo的地方都做了环境判断，避免遗漏。

额外提示 #

• 无论用哪种方案，都建议在package.json中明确指定分支的 commit hash，而不是只写分支名（比如git+ssh://git@git.example.com:pack/repo.git#dev改成git+ssh://git@git.example.com:pack/repo.git#<commit-hash>），这样能避免依赖版本意外变更（比如dev分支被更新后，重新安装会拉取最新的 commit，可能引入未测试的代码）。
• 如果你使用的是 yarn 而不是 npm，也有类似的resolutions字段可以实现和overrides一样的效果。

内容的提问来源于stack exchange，提问作者Get Off My Lawn