Como substituir versões de dependência aninhadas do NPM?

Eu gostaria de usar o grunt-contrib-jasminepacote NPM. Tem várias dependências. Parte do gráfico de dependência fica assim:

─┬ grunt-contrib-jasmine@0.4.1
 │ ├─┬ grunt-lib-phantomjs@0.2.0
 │ │ ├─┬ phantomjs@1.8.2-2

Infelizmente, há um erro nesta versão phantomjsque impede a instalação correta no Mac OS X. Isso foi corrigido na versão mais recente.

Como posso grunt-lib-phantomjsusar uma versão mais recente do phantomjs?

Algum contexto adicional:

• grunt-contrib-jasminerequer explicitamente a versão "~0.2.0"de grunt-lib-phantomjs, que requer explicitamente a versão "~1.8.1"de phantomjs.
• Adicionar phantomjsas dependências do meu pacote primeiro não tem efeito; as duas versões estão instaladas e grunt-contrib-jasmineainda usam as versões mais antigas (consulte: Ao instalar um pacote com o NPM, você pode dizer para ele usar uma versão diferente de uma de suas dependências? ).

Você pode usar a funcionalidade npm shrinkwrap , a fim de substituir qualquer dependência ou subdependência .

Acabei de fazer isso em um projeto difícil. Precisávamos de uma versão mais recente do connect, desde 2.7.3. estava causando problemas para nós. Então, eu criei um arquivo chamado npm-shrinkwrap.json:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

O npm deve buscá-lo automaticamente durante a instalação do projeto.

(Consulte: https://nodejs.org/en/blog/npm/managing-node-js-dependencies-with-shrinkwrap/ )

Para aqueles a partir de 2018 e além, usando o npm versão 5 ou posterior: edite seu package-lock.json: remova a biblioteca da "requires"seção e adicione-a em "dependências".

Por exemplo, você deseja que o deglobpacote use a globversão do pacote em 3.2.11vez da versão atual. Você abre package-lock.jsone vê:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "glob": "7.1.2",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  }
},

Remova "glob": "7.1.2",de "requires", adicione "dependencies"com a versão apropriada:

"deglob": {
  "version": "2.1.0",
  "resolved": "https://registry.npmjs.org/deglob/-/deglob-2.1.0.tgz",
  "integrity": "sha1-TUSr4W7zLHebSXK9FBqAMlApoUo=",
  "requires": {
    "find-root": "1.1.0",
    "ignore": "3.3.5",
    "pkg-config": "1.1.1",
    "run-parallel": "1.1.6",
    "uniq": "1.0.1"
  },
  "dependencies": {
    "glob": {
      "version": "3.2.11"
    }
  }
},

Agora remova sua node_modulespasta, execute npm installe ela adicionará partes ausentes à "dependencies"seção.

Para quem usa fio.

Tentei usar o npm shrinkwrap até descobrir que o cli do fio ignorava meu arquivo npm-shrinkwrap.json.

O Yarn tem https://yarnpkg.com/lang/en/docs/selective-version-resolutions/ para isso. Arrumado.

Confira esta resposta também: https://stackoverflow.com/a/41082766/3051080

Eu tive um problema em que uma das dependências aninhadas tinha uma vulnerabilidade de auditoria npm, mas ainda queria manter a versão da dependência pai. a solução npm shrinkwrap não funcionou para mim, então o que fiz para substituir a versão de dependência aninhada:

1. Remova a dependência aninhada na seção 'required' em package-lock.json
2. Adicione a dependência atualizada em DevDependencies em package.json, para que os módulos que a exigem ainda possam acessá-la.
3. npm i

O NPM shrinkwrap oferece uma boa solução para esse problema. Ele nos permite substituir a versão de uma dependência específica de um submódulo específico.

Essencialmente, quando você executa a instalação do npm, o npm primeiro procura no diretório raiz para verificar se existe um arquivo npm-shrinkwrap.json. Caso isso aconteça, ele será usado primeiro para determinar as dependências do pacote e, em seguida, voltar ao processo normal de trabalho com os arquivos package.json.

Para criar um npm-shrinkwrap.json, tudo que você precisa fazer é

 npm shrinkwrap --dev

código:

{
  "dependencies": {
    "grunt-contrib-connect": {
      "version": "0.3.0",
      "from": "grunt-contrib-connect@0.3.0",
      "dependencies": {
        "connect": {
          "version": "2.8.1",
          "from": "connect@~2.7.3"
        }
      }
    }
  }
}

Encontrei uma solução que funcionou para mim.

Assim. Primeiro edite seu arquivo npm-shrinkwrap.json conforme recomendado em todas as outras soluções.

Então, (no Windows):

• Clique com o botão direito do mouse no arquivo 'npm-shrinkwrap.json'
• Propriedades
• Em Atributos, selecione 'Somente leitura'. Isso impedirá que o npm modifique o arquivo mpn-shrinkwrap.json.

As outras soluções propostas são boas o suficiente se você estiver executando a operação 'npm install' apenas uma vez. Mas após a primeira 'instalação do npm', o arquivo 'npm-shrinkwrap.json' é modificado novamente como antes da sua modificação.