package.json声明的是版本范围而非确切版本，真实安装版本需以node_modules中对应包的package.json或npm ls命令结果为准。
package.json里写的版本号，到底装的是哪个？
VSCode 不会自动执行 npm install，它只读取 package.json 中声明的版本范围（比如 "lodash": "^4.17.21"），但实际安装进 node_modules 的可能是 4.17.23 或 4.18.0——这取决于 package-lock.json 和你本地执行 npm install 时的 npm 版本与网络状态。
所以光看 package.json ≠ 真实运行时版本。要确认真实版本，最准的方法是：npm ls lodash（终端执行），或打开 node_modules/lodash/package.json 查 version 字段。
常见误区：
- 手动改了
package.json里的版本号，但没运行npm install→ 启动时报错“Cannot find module”，因为node_modules没变 - 删了
node_modules和package-lock.json后只跑npm install→ 可能装上比原来更新的次要版本，引发兼容问题 - 用
npm outdated发现一堆可升级包，直接npm update→ 它只升 minor/patch，不碰 major，但有些框架（如 React）的 minor 升级也可能破坏 API
VSCode 里怎么一眼看出哪些包不是最新版？
装上 Version Lens 扩展（ID：pflannery.vscode-versionlens）后，打开 package.json，每行依赖右边会显示灰色小字，例如："axios": "^1.6.0" → latest: 1.7.2。
立即学习“前端免费学习笔记（深入）”；
这个信息来自 npm registry 实时查询，所以要注意：
- 公司内网需配 VSCode 的
http.proxy设置，否则显示 “N/A” - 私有源（如 Nexus、阿里云镜像）要手动在设置里填
versionLens.npmRegistry，否则查不到内部包的最新版 - 悬停在版本号上能看到
next（预发布）、beta等选项，但一键升级只改package.json，不会自动npm install或更新package-lock.json
npm outdated 显示“wanted”和“latest”不一样，该信谁？
npm outdated 输出三列：current（当前装的）、wanted（符合 package.json 范围的最高允许版）、latest（registry 上最新稳定版）。三者不一致很常见。
关键判断点：
-
wanted === latest：说明你声明的版本范围（如^1.5.0）目前能覆盖到最新版，升级安全 -
wanted < latest：说明你锁得太死（比如写了"1.5.0"或），想升到 <code>latest得先放宽范围再npm install -
current < wanted：说明你本地装的旧了，运行npm update就能拉到wanted版
别盲目追 latest —— 尤其是 major 升级，先看对应包的 CHANGELOG 或迁移指南。
为什么 depcheck 说某个包“未使用”，但项目跑起来又没问题？
depcheck 是静态分析工具，它只扫描 import/require 语句，不处理动态引入（import()）、字符串拼接 require、或通过插件/配置加载的依赖（比如 Webpack loader、Babel preset、Vite 插件）。
典型误报场景：
-
"eslint-config-airbnb": "latest"在devDependencies，但.eslintrc.cjs里用了extends: ['airbnb']→depcheck找不到 import，标为未使用 -
"@vitejs/plugin-react"在vite.config.ts里import react from '@vitejs/plugin-react'，但depcheck没识别 TS 文件或 Vite 配置文件类型 - 某些 UI 库（如 Ant Design）按需导入靠 Babel 插件转换，原始代码里只有
import { Button } from 'antd'，但插件实际加载了整个包 →depcheck认为用了，但构建后可能冗余
结论：把 depcheck 当辅助检查，别当裁决依据；真正决定是否保留一个包的，是你删掉它后 npm run dev 能不能过、功能有没有断。
