deps

依存関係マネージャー

プロジェクトの依存関係を監査、分析、管理します。

前提条件

少なくとも1つのパッケージマネージャー：

# npm (comes with Node.js)
node --version

# yarn
npm install -g yarn

# pnpm
npm install -g pnpm

依存関係の分析には：

npm install -g depcheck

CLI リファレンス

セキュリティ監査

npm

# Run security audit
npm audit

# JSON output
npm audit --json

# Only production deps
npm audit --omit=dev

# Fix automatically
npm audit fix

# Fix with breaking changes (careful!)
npm audit fix --force

yarn

yarn audit
yarn audit --json

pnpm

pnpm audit
pnpm audit --json

古いパッケージの確認

npm

# List outdated
npm outdated

# JSON output
npm outdated --json

# Long format with details
npm outdated --long

yarn

yarn outdated

pnpm

pnpm outdated
pnpm outdated --json

パッケージのアップグレード

npm

# Update to latest within semver range
npm update

# Update specific package
npm update lodash

# Install latest (ignoring semver)
npm install lodash@latest

# Interactive upgrade (with npm-check)
npx npm-check -u

yarn

yarn upgrade
yarn upgrade lodash
yarn upgrade lodash@latest
yarn upgrade-interactive

pnpm

pnpm update
pnpm update lodash
pnpm update lodash --latest
pnpm update --interactive

依存関係の分析

このパッケージがインストールされている理由を確認する

# npm
npm explain lodash
npm ls lodash

# yarn
yarn why lodash

# pnpm
pnpm why lodash

未使用の依存関係を見つける

npx depcheck

# JSON output
npx depcheck --json

# Ignore patterns
npx depcheck --ignores="@types/*,eslint-*"

パッケージ情報の表示

# View package details
npm view lodash

# Specific fields
npm view lodash version
npm view lodash versions
npm view lodash dependencies
npm view lodash repository.url

# JSON output
npm view lodash --json

依存関係ツリー

# Full tree
npm ls

# Specific depth
npm ls --depth=2

# Production only
npm ls --omit=dev

# Specific package
npm ls lodash

# JSON
npm ls --json

ワークフローパターン

セキュリティ監査のワークフロー

# 1. Run audit
npm audit --json > audit-report.json

# 2. Review high/critical
npm audit --audit-level=high

# 3. Auto-fix what's safe
npm audit fix

# 4. Manually review remaining
npm audit

アップグレードのワークフロー

# 1. Check what's outdated
npm outdated --json

# 2. Test current state
npm test

# 3. Update patch/minor versions (safer)
npm update

# 4. Test again
npm test

# 5. Update major versions one at a time
npm install package@latest
npm test

依存関係のクリーンアップ

# 1. Find unused deps
npx depcheck

# 2. Review and remove
npm uninstall unused-package

# 3. Verify
npm test && npm run build

パッケージの調査

# Package info
npm view express

# Current version in project
npm ls express

# Who depends on it
npm explain express

# Security vulnerabilities
npm audit | grep express

よくある問題

Peer Dependency の警告

# See peer deps
npm ls --json | grep peer

# Install missing peer deps
npm install missing-peer-dep

バージョンの競合

# See duplicate packages
npm ls --all | grep "deduped"

# Force dedupe
npm dedupe

ロックファイルの問題

# Regenerate lock file
rm package-lock.json
npm install

# Or for yarn
rm yarn.lock
yarn install

ベストプラクティス

1. 定期的に監査する - 毎週、または CI で npm audit を実行します
2. 段階的に更新する - 一度にメジャーバージョンを1つ更新します
3. 更新後にテストする - 更新後は必ずテストを実行します
4. 修正前に確認する - npm audit fix --force は問題を引き起こす可能性があります
5. 未使用の依存関係を整理する - 定期的に depcheck を実行します
6. バージョンを固定する - ロックファイルを git にコミットします
7. 追加前に確認する - インストール前にパッケージの健全性を確認します