dependency-management

依赖管理

目录

• 概述
• 适用场景
• 快速开始
• 参考指南
• 最佳实践

概述

全面管理 JavaScript/Node.js、Python、Ruby、Java 等生态系统中的依赖项。涵盖版本控制、冲突解决、安全审计，以及维护健康依赖项的最佳实践。

适用场景

• 安装或更新项目依赖项
• 解决版本冲突
• 审计安全漏洞
• 管理锁定文件（package-lock.json、Gemfile.lock 等）
• 实施语义化版本控制
• 设置 monorepo 依赖项
• 优化依赖树
• 管理对等依赖项

快速开始

最小可运行示例：

# Initialize project
npm init -y

# Install dependencies
npm install express
npm install --save-dev jest
npm install --save-exact lodash  # Exact version

# Update dependencies
npm update
npm outdated  # Check for outdated packages

# Audit security
npm audit
npm audit fix

# Clean install from lock file
npm ci  # Use in CI/CD

# View dependency tree
npm list
npm list --depth=0  # Top-level only

参考指南

references/ 目录中的详细实现：

指南	内容
包管理器基础	包管理器基础
语义化版本控制（SemVer）	语义化版本控制（SemVer）
依赖锁定文件	依赖锁定文件
解决依赖冲突	解决依赖冲突
安全漏洞管理	安全漏洞管理
Monorepo 依赖管理	Monorepo 依赖管理
对等依赖项	对等依赖项
性能优化	性能优化
CI/CD 最佳实践	CI/CD 最佳实践
依赖更新策略	依赖更新策略

最佳实践

✅ 应该

• 将锁定文件提交到版本控制中
• 在 CI/CD 流水线中使用 npm ci 或等效命令
• 定期进行依赖项审计（每周/每月）
• 保持依赖项为最新版本（使用 Dependabot 自动更新）
• 对关键依赖项使用精确版本
• 记录固定特定版本的原因
• 更新依赖项后进行测试
• 正确使用语义化版本控制
• 尽量减少依赖项数量
• 检查依赖项许可证

❌ 不应该

• 手动编辑锁定文件
• 混用包管理器（在同一项目中同时使用 npm 和 yarn）
• 在 CI/CD 中使用 npm install（应使用 npm ci）
• 忽略安全漏洞
• 使用通配符（*）指定版本
• 可以本地安装时仍全局安装软件包
• 将 node_modules 提交到 git
• 在生产环境中使用 latest 标签
• 盲目运行 npm audit fix
• 安装不必要的依赖项