如何安装与package.json版本范围兼容的最旧依赖版本？

我们来看一个发布在npm上的典型JavaScript库：它的package.json中声明了依赖，但并未指定精确版本，而是定义了声称与之兼容的版本范围。

在这类库的CI系统或预发布测试流程中，一个很关键的环节是用版本范围内最旧可用的依赖版本运行测试套件。毕竟，如果你的package.json声明了"libfoo": "^1.2.3"和"libbar": ">=0.2.0"，但从未用libfoo 1.2.3或libbar 0.2.0测试过最新代码变更，你根本无法确定版本范围是否准确——万一你写的代码依赖了libbar 0.2.1才引入的bug修复，那你声明的版本范围就完全失效了。

下面是具体的实现方法：

使用npm安装最旧兼容版本 #

1. 先清理现有依赖和锁文件：

rm -rf node_modules package-lock.json

2. 执行带参数的安装命令：

npm install --prefer-lowest --no-audit

• --prefer-lowest：告诉npm优先选择满足版本范围的最低可用版本
• --no-audit：可选参数，跳过安全审计以加快安装速度
• 如果项目包含可选依赖，可额外添加--no-optional，确保只安装核心依赖的最旧版本

使用Yarn安装最旧兼容版本 #

Yarn Berry（v2及以上） #

1. 清理现有依赖和锁文件：

rm -rf node_modules yarn.lock

2. 执行安装命令：

yarn install --mode=lowest

--mode=lowest是Yarn Berry原生支持的参数，会直接选择满足版本范围的最低版本。

Yarn v1 #

Yarn v1没有原生的最低版本安装参数，你可以先用npm生成最旧版本的依赖环境，再导出到Yarn：

1. 按上述npm的步骤安装最旧依赖
2. 执行yarn import生成对应的yarn.lock文件，之后即可用Yarn管理这个依赖环境

额外提示 #

• 测试完成后，记得重新执行npm install或yarn install（不带特殊参数），恢复到正常的依赖版本，避免影响后续开发。
• 如果部分依赖的最旧版本存在已知问题，可在package.json的overrides字段（npm）或resolutions字段（Yarn）中临时指定更合适的最低版本，再进行测试。

内容的提问来源于stack exchange，提问作者Mark Amery