前端开发魔咒：devDependencies，你是谁？

2023-12-07 15:26:05

魔咒的由来：NPM 的设计缺陷

NPM 是一个包管理器，它可以帮助我们轻松地安装和管理第三方库。但是，NPM 在设计上有一个缺陷，那就是它将依赖项分为两类：dependencies 和 devDependencies。dependencies 是那些在生产环境中需要用到的库，而 devDependencies 是那些在开发环境中需要用到的库。

这个设计缺陷导致了一个问题，那就是 devDependencies 不会被安装到生产环境中。这也就意味着，如果你在开发环境中使用了某个 devDependency，那么在生产环境中，你的代码就会因为找不到这个库而报错。

devDependencies 带来的问题

使用 devDependencies 会带来以下问题：

构建配置不稳定。 由于 devDependencies 不会被安装到生产环境中，因此，如果你在开发环境中修改了某个 devDependency 的版本，那么在生产环境中，你的代码就会因为找不到这个库而报错。为了避免这个问题，你需要在每次修改 devDependency 的版本后，都重新构建你的项目。这无疑会增加你的工作量，并降低开发效率。
依赖冲突。 devDependencies 可能会与 dependencies 发生冲突。这是因为 devDependencies 和 dependencies 都可以安装到 node_modules 目录下。如果 devDependencies 和 dependencies 安装了同一个库的不同版本，那么就会发生冲突。这会导致你的代码在运行时报错。
安全问题。 devDependencies 中的库可能存在安全漏洞。这是因为 devDependencies 不受生产环境的保护。因此，如果你在开发环境中使用了某个存在安全漏洞的 devDependency，那么你的代码在运行时就可能被攻击。

如何避免使用 devDependencies

为了避免使用 devDependencies，你可以采用以下方法：

使用构建工具。 构建工具可以帮助你自动安装和管理依赖项。这样，你就不需要手动安装 devDependencies 了。常用的构建工具包括 Webpack、Rollup 和 Parcel。
使用 Docker 容器。 Docker 容器可以帮助你隔离开发环境和生产环境。这样，你就可以在开发环境中使用 devDependencies，而不用担心它们会影响生产环境。