yarn

node.js

起源

2016年10月11日，Facebook 联合 Google、Exponent、Tilde 发布官方通告 Yarn: A new package manager for JavaScript

文章概要

npm 的问题

• npm 在大型项目下出现了依赖安装不一致、拉取依赖时间长和随意地自动执行依赖中的代码的安全隐患
• 不支持离线构建
• 生成 npm shrinkwrap 经常会被开发人员忘记
• npm install 生成的node_modules的文件结构树是非确定的

yarn 解决的方式

• 全局缓存，分级实现 (resolution, fetch, link)
• 锁定依赖的版本
• 使用可靠确定性算法保证文件结构树一致

yarn 的特性

• 并行拉取，速度快
• 默认生成 yarn.lock，锁定版本
• flat mode，去掉重复（不同版本）的依赖 yarn --flat
• 各模块的 license 信息及其免责声明 yarn licenses ls | generate-disclaimer
• 网络容错重试

关于 flat mode
当完成了 express@4.15.2 的安装之后，运行yarn --flat，它会提示有两处 debug 依赖。当选择 debug@2.6.1 后，yarn.lock 就会显示合并的结果。如下：

debug@2.6.1, debug@2.6.4:
  version "2.6.1"
  resolved "https://registry.yarnpkg.com/debug/-/debug-2.6.1.tgz#79855090ba2c4e3115cc7d8769491d58f0491351"
  dependencies:
    ms "0.7.2"

另外，依赖 debug@2.6.4 的 node_modules/finalhandler 也会把当前目录下 node_modules/debug 移除掉。

Yarn vs npm: CLI 异同

• yarn global <=> npm i -g
• yarn install yarn.lock > package.json
• yarn add <=> npm i --save
• yarn add --dev <=> npm i --save-dev
• yarn licenses ls | generate-disclaimer 列出各模块的依赖信息和免责声明
• yarn why 查询为何这个模块会在工程当中
• yarn upgrade [package] 重新创建 yarn.lock