npm依赖管理本质是优化package.json、清理冗余、明确依赖边界、升级版本并修复冲突，所有操作围绕命令与配置展开，不涉及业务代码修改。
JS 中 npm 依赖管理本身不靠“写代码”来重构，而是靠理解规则、调整命令和维护配置文件。所谓“重构依赖”，本质是优化 package.json 结构、清理冗余、明确依赖边界、升级版本并修复冲突——所有操作都围绕 npm 命令和配置展开，不是改业务逻辑代码。
明确 dependencies 和 devDependencies 的归属
这是最常被忽视也最关键的一步。装错位置会导致生产环境报错（比如把 eslint 装进 dependencies）、打包体积膨胀、CI 构建失败。
- 运行
npm list --depth=0查看当前顶层依赖，逐个确认用途 - 只在运行时 必须加载 的包才进
dependencies：如axios、react-router-dom、zod - 仅用于开发、构建、测试的包必须进
devDependencies：如vite、typescript、vitest、prettier - 误装的包用
npm uninstall 包名卸载后，再用npm install 包名 -D或npm install 包名正确重装
清理幽灵依赖与重复依赖
幽灵依赖指未在 package.json 中声明，却因依赖提升“碰巧可用”的包；重复依赖指同一库多个大版本共存，浪费空间且易引发冲突。
- 用
npm ls 包名（如npm ls lodash）查看该包被哪些父依赖引入，判断是否真需要显式声明 - 用
npm ls --all | grep "UNMET"找出未满足的 peer 依赖（常见于 React 生态） - 用
npx depcheck扫描项目中 被 require/import 但未声明 的包，补全或删掉无用引用 - 对已确认冗余的包，直接
npm uninstall 包名，不要手动删node_modules
升级依赖并控制语义化版本范围
盲目 @latest 或长期不升级都会带来风险。应结合 package-lock.json 和版本符号做可控升级。
- 先查现状：
npm outdated列出可更新项及版本跨度 - 小修小补（PATCH）：用
npm update 包名，它尊重^或~范围，不跨 MINOR - 功能增强（MINOR）：用
npx npm-check-updates -t minor更新package.json版本号，再npm install - 破坏性变更（MAJOR）：必须显式指定，如
npm install react@18，并同步检查迁移文档、更新 API 调用 - 锁定精确版本防意外：安装时加
@x.y.z，如npm install date-fns@2.30.0，避免^引入不兼容更新
利用 lock 文件和 CI 安装保障一致性
package-lock.json 不是辅助文件，而是依赖一致性的法律依据。重构依赖后，它必须准确反映最终状态。
- 每次修改
package.json后，务必运行npm install更新 lock 文件 - 多人协作时，
package-lock.json必须提交到 Git；合并分支若出现 lock 冲突，不要手动编辑，而是在package.json合并完成后执行npm install重新生成 - CI/CD 流水线中禁用
npm install，改用npm ci——它跳过解析，严格按 lock 文件安装，更快更可靠 - 切勿删除
package-lock.json或node_modules后仅靠npm install“重装”，那会丢失历史锁定精度
