使用 `npm-remote-ls` 检查 npm 包的依赖时，输出结果可能与您在 github 仓库中看到的 `package.json` 不符。这通常是由于查询的包版本与 `package.json` 文件所代表的版本不一致所致。`npm-remote-ls` 严格按照指定版本从 npm 注册表获取数据，因此确保版本匹配是获取准确依赖列表的关键。
在 Node.js 开发中，准确了解项目依赖是至关重要的。npm-remote-ls 工具提供了一种便捷的方式来远程查看 npm 包的依赖树。然而，开发者有时会遇到一个困惑：某个明确列在项目 package.json 文件中的依赖项，在使用 npm-remote-ls 查询时却未出现在输出结果中。本文将深入探讨这一现象背后的原因，并提供解决方案。
npm-remote-ls 依赖缺失问题分析
假设您正在使用 npm-remote-ls 来检查 node-gyp 包的依赖，并编写了如下 Node.js 脚本：
let ls = require('npm-remote-ls').ls;
let config = require('npm-remote-ls').config;
// 配置选项：不包含开发依赖，包含可选依赖
config({ development: false, optional: true });
// 查询 node-gyp 的 9.3.1 版本的依赖
ls('node-gyp', '9.3.1', console.log);执行上述脚本后，您会得到一个 node-gyp@9.3.1 的依赖列表。然而，如果您查看 node-gyp 项目在 GitHub 上的 package.json 文件（例如，某个特定提交或主分支），可能会发现其中包含 "exponential-backoff": "^3.1.1" 这样的依赖。但奇怪的是，在 npm-remote-ls 的输出中，exponential-backoff 却不见踪影。
问题根源：版本不匹配
这种差异的核心原因在于您所查询的 node-gyp 包的特定版本。npm-remote-ls 工具是根据 npm 注册表上发布的特定版本包的元数据来构建依赖树的。GitHub 仓库中的 package.json 文件可能代表的是项目的最新开发状态，或者是某个尚未发布到 npm 注册表的版本，甚至可能是某个旧版本发布后，依赖项才被添加进来。
在上述例子中，node-gyp@9.3.1 版本的 package.json 实际上并没有将 exponential-backoff 列为依赖。根据 npm 注册表的历史记录，exponential-backoff 依赖是在 node-gyp@9.4.0 版本中才被引入的。因此，当您查询 9.3.1 版本时，自然不会在输出中看到该依赖。
解决方案：指定正确的版本
要获取包含特定依赖的完整列表，您需要确保查询的 npm-remote-ls 版本与您期望看到该依赖的版本相匹配。
方法一：指定引入依赖的准确版本
如果您知道某个依赖是在哪个版本之后被引入的，可以直接指定该版本。例如，要查看 node-gyp 包含 exponential-backoff 的依赖列表，可以查询 9.4.0 或更高版本：
let ls = require('npm-remote-ls').ls;
let config = require('npm-remote-ls').config;
config({ development: false, optional: true });
// 查询 node-gyp 的 9.4.0 版本或更高版本的依赖
ls('node-gyp', '9.4.0', console.log);方法二：查询最新版本 (latest)
如果您希望获取一个包的最新稳定版本的依赖列表，通常可以使用 latest 标签。这将查询 npm 注册表上标记为 latest 的版本（通常是最高版本号）。
let ls = require('npm-remote-ls').ls;
let config = require('npm-remote-ls').config;
config({ development: false, optional: true });
// 查询 node-gyp 的最新版本依赖
ls('node-gyp', 'latest', console.log);当您将 node-gyp 的版本参数从 9.3.1 修改为 latest (例如，10.0.1 或更高版本) 后，npm-remote-ls 的输出将正确地包含 "exponential-backoff": "^3.1.1"。
示例输出（部分）：
当查询 node-gyp@latest 时，输出中将包含 exponential-backoff：
{
"@npmcli/move-file": { /* ... */ },
"@npmcli/promise-spawn": { /* ... */ },
"@npmcli/run-script": { /* ... */ },
"abbrev": { /* ... */ },
"agent-base": { /* ... */ },
"cacache": { /* ... */ },
"chownr": { /* ... */ },
"ci-info": { /* ... */ },
"cp-file": { /* ... */ },
"dezalgo": { /* ... */ },
"dot-prop": { /* ... */ },
"env-paths": { /* ... */ },
"err-code": { /* ... */ },
"eslint-plugin-promise": { /* ... */ },
"eslint-plugin-standard": { /* ... */ },
"eslint-plugin-unicorn": { /* ... */ },
"eslint": { /* ... */ },
"exponential-backoff": {}, // <-- exponential-backoff 赫然在列
"fs-minipass": { /* ... */ },
"fs-walk": { /* ... */ },
"glob": { /* ... */ },
"graceful-fs": { /* ... */ },
"has-unicode": { /* ... */ },
"hosted-git-info": { /* ... */ },
"ignore-walk": { /* ... */ },
"is-core-module": { /* ... */ },
"json-parse-even-better-errors": { /* ... */ },
"json-stringify-safe": { /* ... */ },
"libnpmdiff": { /* ... */ },
"libnpmhook": { /* ... */ },
"libnpmjs": { /* ... */ },
"libnpmsearch": { /* ... */ },
"libnpmteam": { /* ... */ },
"libnpmtoken": { /* ... */ },
"libnpmversion": { /* ... */ },
"lru-cache": { /* ... */ },
"make-dir": { /* ... */ },
"minipass-fetch": { /* ... */ },
"minipass-pipeline": { /* ... */ },
"minipass-stream": { /* ... */ },
"mkdirp": { /* ... */ },
"ms": { /* ... */ },
"node-fetch": { /* ... */ },
"npm-audit-report": { /* ... */ },
"npm-install-checks": { /* ... */ },
"npm-package-arg": { /* ... */ },
"npm-pick-manifest": { /* ... */ },
"npm-registry-fetch": { /* ... */ },
"npm-user-validate": { /* ... */ },
"npmlog": { /* ... */ },
"nopt": { /* ... */ },
"normalize-package-data": { /* ... */ },
"pac-resolver": { /* ... */ },
"package-json-parse": { /* ... */ },
"path-is-inside": { /* ... */ },
"path-name-to-url": { /* ... */ },
"promise-retry": { /* ... */ },
"promzard": { /* ... */ },
"protoduck": { /* ... */ },
"qrcode-terminal": { /* ... */ },
"query-string": { /* ... */ },
"read": { /* ... */ },
"read-package-json": { /* ... */ },
"read-package-json-fast": { /* ... */ },
"readdir-scoped-modules": { /* ... */ },
"request": { /* ... */ },
"rimraf": { /* ... */ },
"semver": { /* ... */ },
"sigstore": { /* ... */ },
"socks-proxy-agent": { /* ... */ },
"socks": { /* ... */ },
"ssri": { /* ... */ },
"strip-ansi": { /* ... */ },
"strip-json-comments": { /* ... */ },
"tar": { /* ... */ },
"text-table": { /* ... */ },
"tiny-tappable": { /* ... */ },
"tuf-js": { /* ... */ },
"universalify": { /* ... */ },
"which": { /* ... */ },
"worker-farm": { /* ... */ },
"write-file-atomic": { /* ... */ },
"yargs": { /* ... */ },
"yargs-parser": { /* ... */ }
}注意事项与总结
- 版本精确性是关键： npm-remote-ls 严格依赖于您指定的包版本。如果您在代码中指定了 9.3.1，那么工具将只查询 node-gyp@9.3.1 在 npm 注册表中的元数据。
- GitHub package.json 与发布版本： 不要混淆 GitHub 仓库中的 package.json 文件与 npm 注册表上发布的特定版本包的 package.json。GitHub 上的文件可能反映的是开发分支的最新状态，而 npm 注册表中的每个版本都有其固定的 package.json 快照。
- 使用 latest 标签： 对于希望获取最新稳定版本依赖的情况，使用 'latest' 作为版本参数是一个方便的选择。
- 历史版本分析： 如果您需要分析特定历史版本的依赖情况，务必提供准确的版本号，而非仅仅参考 GitHub 上的当前 package.json。
通过理解 npm-remote-ls 的工作原理及其对版本精确性的要求，您可以更有效地利用该工具来管理和审查 npm 包的依赖关系，避免因版本差异导致的混淆。
