npm、yarn幽灵依赖问题

很好！我们来专门讲讲**幽灵依赖（Phantom Dependency）**是什么，以及为什么 pnpm 对这个问题非常严格。

---

👻 什么是幽灵依赖？

幽灵依赖（Phantom Dependency），指的是：

你在代码中使用了某个依赖包，但它并没有在当前项目的 package.json 中声明，只是“间接依赖”被安装到了 node_modules 中，导致你能用，但其实不应该能用。

✅ 看个例子：

你的项目 package.json 是这样：

{
“dependencies”: {
“webpack”: “^5.0.0”
}
}

但你在代码中写了：

import lodash from ‘lodash’;

你没有显式安装 lodash，但项目里却能跑成功，因为 webpack 的某个插件内部依赖了 lodash，所以它“顺便”被装进 node_modules。

这就是幽灵依赖：你没声明，系统却能跑。

---

🔥 为什么幽灵依赖是个大坑？

问题 说明

❌ 不确定性 有一天 webpack 不再依赖 lodash，你项目就炸了。
😵 团队协作不可控 别人的机器跑不了，因为依赖缺失。
🔄 CI/CD 出现诡异 bug 因为依赖未声明，构建环境装不全。
💣 不符合模块化规范 违反了“谁用谁声明”的原则。

---

🧰 不同包管理器的处理方式

工具 幽灵依赖能不能用？ 原因

npm 可以 扁平结构，默认能访问“上层”依赖。
yarn 可以 结构跟 npm 类似，默认不阻止。
pnpm ❌ 不允许 模块是“严格隔离”的，你没声明就不能访问。

📦 pnpm 的实现方式：

pnpm 的 node_modules 是使用 符号链接（symlink）+ 嵌套结构 搭出来的，你只能访问你自己声明的依赖。

比如：

/node_modules
└── lodash -> 只有你明确写了才会在这出现

否则你访问会直接报错：

Cannot find module ‘lodash’

---

✅ 怎么避免幽灵依赖？

1. ✅ 安装时务必用 pnpm add xxx 或 npm install xxx 明确声明；

2. ✅ 在代码检查时结合工具，比如：

ESLint 插件 import/no-extraneous-dependencies

TypeScript 设置 noImplicitAny, esModuleInterop 等

---

🧾 小结一句话：

幽灵依赖 = 看得见用得上，看不见 package.json，极易出问题； pnpm 的最大好处之一，就是能帮你自动规避这个坑。

---