如何校验pnpm-workspace.yaml？规避配置错误引发的npm供应链风险

• 用pnpm内置命令直接校验
  执行pnpm config verify，这个命令会扫描所有pnpm相关配置文件（包括pnpm-workspace.yaml），找出未被pnpm识别的无效配置项。像你写错的strictBuildDeps会被明确标记出来，不会再静默失效。

• 启用pnpm严格配置增强校验
  在项目的.npmrc或pnpm-workspace.yaml里开启strict-peer-dependencies=true，虽然这主要针对peer依赖校验，但配合上面的校验命令，能进一步降低配置错误带来的风险。另外要注意，strictDepBuilds是控制构建依赖严格性的关键配置，一旦拼写错误就会失去防护，提前校验是核心。

• 借助YAML校验工具做字段校验
  因为pnpm-workspace.yaml是YAML格式，用yamllint这类工具先确保语法正确。还可以给yamllint自定义规则，把strictDepBuilds等合法配置项加入白名单，这样写错字段名时会立刻被检测出来。

• CI流程中加入自动校验
  在GitHub Actions、GitLab CI等CI流程里添加配置校验步骤，每次提交代码时自动运行pnpm config verify和YAML校验，在代码合并前就拦截错误配置，避免错误进入生产环境。

内容的提问来源于stack exchange，提问作者Frederik Claus