JavaScript项目依赖规范自动检查需组合静态分析工具、脚本化检查与CI/CD集成：1.用depcheck检测冗余/缺失依赖及peerDependencies；2.用npm-check约束依赖类型与更新节奏；3.在CI中固化检查逻辑，确保PR提交时自动验证。
JavaScript 项目中实现团队依赖规范的自动检查，关键不是“只靠 npm 命令”，而是组合使用 静态分析工具 + 脚本化检查 + CI/CD 集成，让规范落地不依赖人工记忆。下面从三个可直接落地的环节讲清楚怎么做。
用 depcheck 清理冗余和缺失依赖
depcheck 是最贴近“规范检查”的轻量工具，它不关心版本号，只盯住代码与 package.json 的一致性：
- 检测出 声明了但没用到 的包（比如误装的 lodash、过时的 moment）
- 发现 代码里 require/import 了但没在 package.json 中声明 的包（常见于本地模块、私有包或漏装）
- 提示 peerDependencies 是否被满足，避免运行时报错
推荐在项目根目录执行：npx depcheck --ignore-bin-package --ignores="babel-*,@types/*"
加 --json 可输出结构化结果，方便后续做断言或上报。
用 npm-check 约束依赖类型与更新节奏
npm-check 能识别哪些依赖该在 dependencies，哪些该进 devDependencies，并支持按环境隔离检查：
立即学习“Java免费学习笔记（深入）”；
Json Schema Toolkit
下载
使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。
-
npm-check -p：只检查生产依赖——确保测试框架、构建工具没混进dependencies -
npm-check -d：只检查开发依赖——防止把 express、mysql 这类运行时依赖错放进来 -
npm-check -u：交互式升级时，会明确标出主版本变更（⚠️ breaking change），强制团队关注兼容性
建议将 npm-check -p -d --skip-unused 加入 pre-commit 或 CI 脚本，失败即中断，避免错误分类被合入主干。
用 CI 脚本固化检查逻辑
把检查变成不可绕过的流程，比文档和会议更有效。例如在 GitHub Actions 的 .github/workflows/check-deps.yml 中写：
steps:
- uses: actions/checkout@v4
- uses: actions/setup-node@v4
with:
node-version: '20'
- run: npm ci
- name: Check unused & missing deps
run: npx depcheck --json | jq '(.dependencies | length) == 0 and (.missing | length) == 0' || (npx depcheck && exit 1)
- name: Validate dependency types
run: npx npm-check -p -d --skip-unused --no-color || exit 1
这样每次 PR 提交，CI 就会自动验证：有没有漏装、有没有乱装、有没有错放类型——结果清晰可见，责任明确。
不需要引入复杂平台，三款命令行工具配合脚本就能跑通闭环。重点是把检查动作嵌入开发流，而不是等上线前再人工翻包。
