如何限制应用直接依赖仅使用指定开源库？

要实现仅允许固定开源库作为直接依赖、阻止安装清单外包的需求，有几种实用的落地方式：

一、自定义Preinstall脚本（最灵活可控） #

直接在项目里写个Node脚本，配合npm的preinstall钩子，在执行npm install前自动校验依赖是否在白名单内：

1. 项目根目录新建check-deps-whitelist.js脚本：

const fs = require('fs');

// 这里替换成你们允许的开源库清单
const ALLOWED_PACKAGES = ['react', 'vue', 'lodash', 'axios', 'express'];

try {
  // 读取package.json里的直接依赖
  const pkgContent = fs.readFileSync('./package.json', 'utf8');
  const pkg = JSON.parse(pkgContent);
  const allDirectDeps = { ...pkg.dependencies, ...pkg.devDependencies };

  // 遍历检查每个依赖
  for (const depName in allDirectDeps) {
    if (!ALLOWED_PACKAGES.includes(depName)) {
      console.error(`❌ 错误：直接依赖 "${depName}" 不在允许的白名单中`);
      process.exit(1); // 终止install流程
    }
  }

  console.log('✅ 所有直接依赖均符合白名单要求');
} catch (err) {
  console.error('⚠️ 依赖检查脚本执行失败:', err.message);
  process.exit(1);
}

2. 在项目的package.json里添加preinstall脚本：

{
  "scripts": {
    "preinstall": "node check-deps-whitelist.js"
  }
}

之后团队成员执行npm install时，脚本会自动校验，一旦发现白名单外的直接依赖，就会终止安装流程。

二、使用第三方工具简化实现 #

如果不想自己写脚本，可以用现成的npm工具（比如npm-whitelist）来快速实现：

1. 本地安装工具：

npm install npm-whitelist --save-dev

2. 在package.json里配置白名单和钩子：

{
  "whitelist": ["react", "vue", "lodash"],
  "scripts": {
    "preinstall": "npm-whitelist"
  }
}

工具会自动读取配置的白名单，在install前完成校验。

三、结合Git钩子做提交校验（额外防线） #

为了防止有人绕过本地脚本提交不符合要求的package.json，可以配合Git钩子（比如用husky）在代码提交前再做一次校验：

1. 安装husky：

npm install husky --save-dev
npx husky install

2. 添加pre-commit钩子：

npx husky add .husky/pre-commit "node check-deps-whitelist.js"

这样每次提交代码前，都会自动检查package.json里的直接依赖，不符合要求就阻止提交。

注意事项 #

• 以上方案仅校验直接依赖（dependencies和devDependencies里的包），传递依赖不会被限制，符合你的需求。
• 白名单可以统一维护在公司内部的npm包或者配置文件里，方便所有团队同步更新，避免每个项目单独修改。

内容的提问来源于stack exchange，提问作者Yash