一些库的子依赖，是不是我不用安装就直接可以用？

Question

    "node_modules/@reduxjs/toolkit": {
      "version": "1.9.5",
      "resolved": "https://registry.npmjs.org/@reduxjs/toolkit/-/toolkit-1.9.5.tgz",
      "integrity": "sha512-Rt97jHmfTeaxL4swLRNPD/zV4OxTes4la07Xc4hetpUW/vc75t5m1ANyxG6ymnEQ2FsLQsoMlYB2vV1sO3m8tQ==",
      "dependencies": {
        "immer": "^9.0.21",
        "redux": "^4.2.1",
        "redux-thunk": "^2.4.2",
        "reselect": "^4.1.8"
      },

今天我用immer的时候，发现没有安装成功也可以直接用，给我惊奇坏了，一搜索发现是redux的一个依赖,我粘贴的这段代码是package-lock.json不是package.json，package.json里面完全找不到immerjs,也就是说我根本没安装过。这种情况下，我就直接可以用immer，不用安装了，对把？？事实是上可以的，我就是想要再确认一下，这种情况下有没有潜在的问题？还是跟安装之后再使用完全没有区别？？

Answer 1

不要在项目中使用幽灵依赖，项目中使用的第三方包都应该显式的在 package.json 中指明。

使用幽灵依赖会导致：
如果有一天 redux 发布了一个 patch 版本，并且将 immer 从 redux 的依赖列表中删除，那么你的项目将不能正常启动。

Answer 2

这个在依赖管理叫传递依赖。也就是A依赖B，B依赖C，隐含A依赖C，理论上A可以直接调用C提供的函数。

代码和执行层面没有问题，不过sonarlint默认规则会给你警告，认为是隐式依赖，你最好显式声明该依赖。这也是有一定道理的，因为隐式依赖并不由你控制依赖版本，可能因为你的依赖库升级造成你的依赖破坏，所以sonar规则不建议你隐式依赖。

当然你自己确定没问题直接引用也不会有执行问题

Answer 3

的确，由于npm包的扁平化方式，所以在node_modules中所有包及包的依赖包会被拍平至顶层，所以你才可以不显式安装也可以访问，但是正是由于扁平化的方式，导致你引入的包的版本是不确定，这取决于你依赖的包中谁先安装，然后会以它依赖的那个版本为顶层包，这就是潜在的风险，所以现在有个包管理工具pnpm就禁止了这个行为，你没有依赖是访问不到的，我的建议是不要这么做。

Answer 4

首先，当你使用package-lock.json而不是package.json时，意味着你可能使用了一个已经被锁定的依赖版本，这是由于之前进行过一次正常的安装操作并生成了package-lock.json文件。因此，如果你在此之前安装过immer，并且依赖项的版本没有发生变化，那么即使你没有再次运行npm install或类似的命令，你仍然可以使用immer。

然而，这种情况下存在一些潜在的问题需要考虑：

依赖版本不一致性： 如果你没有正确安装immer的依赖项，那么你无法确保你正在使用的immer与其他依赖项的版本兼容。这可能导致潜在的冲突或不一致性，导致代码运行出错或产生意外行为。

更新和维护： 如果你没有在package.json中列出immer作为依赖项，那么在进行团队协作或将代码部署到其他环境时，其他开发者可能会遇到问题。他们可能会尝试运行npm install来安装缺少的依赖项，并因为缺乏对immer的正确安装而遇到困难。

未来版本变更： 当你在没有明确安装immer的情况下使用它时，你失去了对其版本的控制。在将来，如果你的代码依赖于immer的特定行为或功能，但在更新immer时遇到了不兼容的更改，你的代码可能会出现问题。