如何使用NPM覆盖依赖包的子依赖版本？

嘿，刚好我对这个问题很熟悉，给你拆解几个原生npm的解决方案，从最推荐的新特性到传统方法都有：

1. 首选：用npm的overrides字段（npm v8.3.0+） #

这是npm后来推出的原生替代Yarn resolutions的方案，操作最简单，直接在你的package.json里配置就行，完全不用碰lock文件或者shrinkwrap。

举个例子，假设package B的子依赖是vuln-pkg，有漏洞，你要把它强制升级到1.2.3版本，就在package.json里加：

{
  "name": "你的项目名",
  "dependencies": {
    "A": "^1.0.0",
    "B": "^2.0.0",
    "C": "^3.0.0"
  },
  "overrides": {
    // 针对B的子依赖做覆盖
    "B": {
      "vuln-pkg": "1.2.3"
    }
    // 如果这个子依赖是多个包共同依赖的，也可以直接全局覆盖：
    // "vuln-pkg": "1.2.3"
  }
}

配置完之后运行npm install，npm就会自动把B的vuln-pkg替换成你指定的版本。你可以用npm ls vuln-pkg来验证版本是否生效。

2. 用npm-shrinkwrap.json锁定版本 #

如果你的npm版本低于v8.3.0，或者需要更严格的版本锁定（比如生产环境），可以用shrinkwrap：

• 第一步：先手动安装你需要的安全版本的子依赖：

  npm install vuln-pkg@1.2.3 --save-exact
  

  这里的--save-exact是为了锁定精确版本，避免后续npm自动升级。
• 第二步：生成shrinkwrap文件：

  npm shrinkwrap
  

  这个文件会覆盖package-lock.json的优先级，npm安装时会严格按照shrinkwrap里的版本来，哪怕依赖树里的其他包要求旧版本。

注意：如果你的项目是要发布到npm的库，用shrinkwrap要谨慎，因为它会强制所有使用者使用你锁定的版本；如果是自己的应用项目，完全没问题。

3. 手动编辑package-lock.json（临时应急用） #

这个方法不推荐长期用，但如果是临时修复可以试试：

• 打开package-lock.json，找到那个有漏洞的子依赖条目：
  • 要么在dependencies→B→dependencies下找到它，要么直接在顶层的dependencies里添加（如果没有的话）。
  • 把它的version改成安全版本，同时把resolved和integrity字段替换成对应版本的值（你可以去npm官网查这个版本的哈希值）。
• 保存后运行npm install，npm就会按照你修改后的版本安装。

不过要注意：后续如果运行npm update或者修改其他依赖，package-lock.json可能会被重新生成，你的修改可能会被覆盖，所以最好还是用前面两种方法。

内容的提问来源于stack exchange，提问作者The Qodesmith