How can I forcibly exclude a nested dependency for NPM?

在使用NPM管理项目依赖时，有时候我们会遇到需要排除或替换某些特定的嵌套依赖（即子依赖）的情况。这通常是因为某些依赖存在安全问题、许可问题，或者与项目中其他部分存在冲突。下面，我将介绍几种强制排除嵌套依赖项的方法，并提供相关例子。

1. 使用 resolutions 字段（Yarn）

首先，虽然这是Yarn的功能而非NPM的，但它是处理嵌套依赖项一个非常流行和有效的方法。在项目的 package.json 文件中，可以添加一个 resolutions 字段指定需要覆盖的依赖版本。

例如，如果我们需要覆盖 lodash 的版本，可以这样写：

json
{
  "resolutions": {
    "lodash": "4.17.21"
  }
}

这会确保无论依赖树中的哪个包请求 lodash，最终安装的都将是 4.17.21 版本。

2. 使用 npm-force-resolutions 脚本

对于NPM用户，可以使用 npm-force-resolutions 这个第三方工具来模拟类似于Yarn的 resolutions 功能。首先需要在 package.json 中声明需要强制解析的依赖，然后运行一个预处理脚本。

json
{
  "scripts": {
    "preinstall": "npx npm-force-resolutions"
  },
  "resolutions": {
    "lodash": "4.17.21"
  }
}

在运行 npm install 前，preinstall 脚本将会先执行，npm-force-resolutions 会调整 package-lock.json 来反映 resolutions 中指定的版本。

3. 手动编辑 package-lock.json

虽然这种方法比较原始，并且不推荐用于自动化的开发流程中，但在一些需要快速解决问题的情况下，直接编辑 package-lock.json 文件也是一种可行的方法。你可以直接找到相应的依赖项，并修改其版本号。但这需要你在之后运行 npm install 时保持对该文件的更改，否则更改可能会被覆盖。

例如，将 package-lock.json 中的 lodash 版本修改为 4.17.21。

4. 使用 overrides 字段 (从npm v8.3.0开始支持)

最新版本的npm引入了overrides功能，这与Yarn的resolutions非常类似，但更加灵活和强大。

json
{
  "overrides": {
    "lodash": "4.17.21"
  }
}

这将确保任何嵌套依赖 lodash 都将使用版本 4.17.21。

总结

以上就是几种在NPM中管理和强制排除嵌套依赖项的方法。选择哪一种方法取决于你的具体需求以及你所使用的npm版本。在实际操作中，推荐使用 overrides 或者 npm-force-resolutions，因为这些方法较为官方和标准化。不过，如果你在使用Yarn，使用 resolutions 也是一个非常好的选择。