如何从 node_modules 文件夹升级单个文件而不是升级整个包

Question

我需要从node_modules 文件夹升级yarn.lock 文件之一以消除Raven 漏洞问题。

文件路径是

src/node_modules/form-data/yarn.lock

我知道我可以使用npm install 来安装新软件包。但是有没有一种方法可以让整个包保持当前版本，但升级包中的一个文件？

Answer 1

您可以直接编辑文件。或者您可以分叉软件包并仅更新文件，然后发布您的分叉。但是不，没有办法使用npm（可能也不是yarn）来更新文件而不更新包。这是设计使然。如果您运行 npm 命令并让它报告您运行的是 1.2.3 版，但实际上您运行的是 1.2.3 版并修改了一个或多个文件，则存在很大的调试和恶意软件可能性。

您希望更新包中的yarn.lock 文件让我有点困惑。 yarn.lock 文件在 node_modules 中不会影响任何内容。 npm 和 yarn 都是如此。如果yarn.lock 文件不在您的顶级项目中，则它会被忽略。在node_modules 中更新yarn.lock 不会对您正在运行的代码做任何事情。也许依赖项列在您项目的顶级 yarn.lock 文件中？