JS中npm依赖管理的常见反模式是工程习惯与认知偏差所致：盲目用^/~导致版本漂移、忽略package-lock.json作用、滥用--legacy-peer-deps跳过校验、monorepo中忽视子包版本隔离；规避方法包括启用save-exact、提交lock文件、用npm explain定位冲突、子包独立声明依赖等。
JS 中 npm 依赖管理的常见反模式，不是技术能力问题，而是工程习惯和认知偏差导致的。很多团队项目越维护越卡顿、越升级越报错，根源往往不在代码本身，而在依赖管理方式上。下面这几个高频反模式，以及对应的具体规避方法，都是从真实故障中提炼出来的。
盲目使用 ^ 或 ~ 版本前缀
默认写 "lodash": "^4.17.21" 看似省事，实则埋下漂移隐患。npm 会按 SemVer 规则自动拉取满足条件的最新版——比如下次 install 可能装上 4.18.0，而该版本悄悄改了某个工具函数的返回类型，导致某处 if (arr) 判断失效。
- 在
package.json同级目录创建.npmrc，写入：save-exact=true - 后续所有
npm install xxx都会记录为精确版本（如"lodash": "4.17.21"） - 已有项目可批量重写：运行
npm pkg set --save-dev --save-exact $(npm ls --depth=0 --parseable | xargs -n1 basename)（Linux/macOS），或逐个执行npm install xxx@y.y.y --save-exact
长期不更新 package-lock.json 或随意删除它
lock 文件不是“缓存”，它是整个依赖树的快照。有人觉得删了再 install 就能“刷新”依赖，结果反而让不同人本地装出两套不兼容的 node_modules。
Wjs Uploading Video
下载
将一个或多个视频上传至YouTube。当用户想“上传到YouTube”“发YouTube”“批量上传”“upload to YouTube”“post videos to YouTube”或发布到YouTube时使用此技能。
- 确保
package-lock.json提交进 Git，禁止添加到.gitignore - 升级依赖时，优先用
npm update xxx或npm install xxx@latest，让 npm 自动更新 lock 文件 - 若需强制重建 lock（如修复冲突），先删
node_modules和package-lock.json，再运行npm install，而非只删前者
滥用 --legacy-peer-deps 或 --force
遇到 ERESOLVE 报错就加参数跳过校验，等于给依赖树打补丁而不修漏洞。看似装上了，实际可能引入 React 双版本、重复加载同名模块、甚至破坏 tree-shaking。
- 把
npm explain xxx当成第一排查命令，快速定位哪个包在要求冲突版本 - 优先卸载冗余工具包（如
@webpack-cli/init在 webpack-cli v5+ 中已废弃） - 确需收敛深层冲突时，用
resolutions字段（仅限 yarn）或升级到 npm v8.3+ 后使用overrides替代
在 monorepo 中忽略子包版本隔离
一个仓库里放十几个包，却共用同一套 devDependencies 或随意 npm link，极易造成构建环境污染。比如 pkg-a 用 TypeScript 5，pkg-b 还卡在 TS 4.9，本地构建时互相干扰。
- 每个子包独立声明
engines和devDependencies，避免根目录统一管理 - 禁用全局
npm link，改用npm pack+npm install ../path/to/pkg.tgz模拟真实发布流程 - CI 流程中对每个子包单独执行
npm ci（而非npm install），确保环境干净且可复现
