pnpm 的 resolution-mode 配置 ( pnpm 的版本解析)

pnpm 有一个名为 resolution-mode 的配置项[1]（在 .npmrc 文件中配置），但无论是 resolution-mode 这个名字还是配置项的值的名字，都相当的不直观，更不方便记忆。

resolution-mode 影响的是 pnpm 的版本解析。适当的配置可以减少子依赖所带来的供应链攻击，并且在缓存的作用下可以加快安装速度。但请不要看到「安全」「快速」就盲目配置这个选项------阅读完下面的内容，并明确自己的意图再去动这个配置。

在解释之前，先做一些约定：

目前 resolution-mode 允许设为下面三个值之一：

下面以这样的一个项目为例子：（测试时所使用的 pnpm 版本为 8.11.0）

复制代码

{
  "dependencies": {
    "ora": "^6.2.0"
  }
}

ora 库[2]有多个依赖，但我们在这里只需要关注 ora 本身以及它的其中一个依赖 chalk[3] 的版本，并通过 pnpm 生成的 lock file 来得知它们被解析到哪个版本。

当 resolution-mode 设为 highest 时：ora 的版本被解析为 6.3.1，chalk 的版本被解析为 5.3.0。两个库都被解析到最新版本。
当 resolution-mode 设为 time-based 时：ora 的版本被解析为 6.2.0，chalk 的版本被解析为 5.2.0。ora 能满足语义化版本的最老版本是 6.2.0，而 ora 6.2.0 的发布时间为 2023/3/19 18:13:22，在此时间之前 chalk 最新版本是 5.2.0。（尽管 ora 的 package.json 文件里声明的是 "chalk": "^5.0.0"）
当 resolution-mode 设为 lowest-direct 时：ora 的版本被解析为 6.2.0，chalk 的版本被解析为 5.3.0。可以看到即使 ora 作为项目的直接依赖被解析为 6.2.0，但它的依赖 chalk 被解析到最新版本即 5.3.0。