运行错误

[chenyulun]

npa-cli analyze /Users/myName/learn/test
WARNING The maximum recursion depth is not set, and all package dependencies of the project will be generated
Error loading user package
ERROR ENOENT: no such file or directory, open '/Users/myName/learn/test/pnpm-workspace.yaml'

为什么一定要读取pnpm-workspace.yaml

[chenyulun]

{
  "name": "test",
  "version": "1.0.0",
  "description": "",
  "main": "index.js",
  "scripts": {
    "test": "echo \"Error: no test specified\" && exit 1"
  },
  "keywords": [],
  "author": "",
  "license": "ISC",
  "packageManager": "pnpm@10.6.4",
  "dependencies": {
    "sass": "1.86.0"
  }
}

[chenyulun]

项目里面有pnpm-lock.yaml版本是lockfileVersion: '9.0'

[chenyulun]

换了npm重新试了，安装了一个带optionalDependencies的包，package-lock.json ==> "lockfileVersion": 3,

➜  verdaccio-pkg-filter npa-cli analyze /Users/myNmae/learn/test
WARNING   The maximum recursion depth is not set, and all package dependencies of the project will be generated
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-darwin-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-x64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-ia32@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-x64-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-x64-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm64-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm64-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-android-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-freebsd-x64@2.5.1
INFO   Completed reading the project package data, taking 295.44 ms

[chenyulun]

packages/core/src/loader/loadPnpmModules.ts 条件判断一下

try {
        const projectModule = [ROOT];
        let monorepoPath: string[] =[]
        if(fs.existsSync(nativePathJoin(root, 'pnpm-workspace.yaml'))) {
            const monorepo = YAML.parse(fs.readFileSync(nativePathJoin(root, 'pnpm-workspace.yaml'), 'utf-8')).packages;
            monorepoPath = globSync(monorepo, {
                cwd: root
            });

        }
        if(monorepoPath) {
            projectModule.push(...monorepoPath);
        }
// ...

[trudbot]

packages/core/src/loader/loadPnpmModules.ts 条件判断一下

try {
const projectModule = [ROOT];
let monorepoPath: string[] =[]
if(fs.existsSync(nativePathJoin(root, 'pnpm-workspace.yaml'))) {
const monorepo = YAML.parse(fs.readFileSync(nativePathJoin(root, 'pnpm-workspace.yaml'), 'utf-8')).packages;
monorepoPath = globSync(monorepo, {
cwd: root
});

    }
    if(monorepoPath) {
        projectModule.push(...monorepoPath);
    }

// ...

对， 之前默认把pnpm当monorepo处理了

[trudbot]

换了npm重新试了，安装了一个带optionalDependencies的包，package-lock.json ==> "lockfileVersion": 3,

➜ verdaccio-pkg-filter npa-cli analyze /Users/myNmae/learn/test
WARNING The maximum recursion depth is not set, and all package dependencies of the project will be generated
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-darwin-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-x64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-ia32@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-x64-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-x64-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm64-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm64-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-android-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-freebsd-x64@2.5.1
INFO Completed reading the project package data, taking 295.44 ms

这个可以提供一下package.json吗

[chenyulun]

换了npm重新试了，安装了一个带optionalDependencies的包，package-lock.json ==> "lockfileVersion": 3,
➜ verdaccio-pkg-filter npa-cli analyze /Users/myNmae/learn/test
WARNING The maximum recursion depth is not set, and all package dependencies of the project will be generated
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-darwin-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-x64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-win32-ia32@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-x64-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-x64-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm64-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm64-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm-glibc@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-linux-arm-musl@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-android-arm64@2.5.1
No dependencies matched， src: node_modules/@parcel/watcher, target: @parcel/watcher-freebsd-x64@2.5.1
INFO Completed reading the project package data, taking 295.44 ms

这个可以提供一下package.json吗

只写一个sass@1.86.0然后用npm(10.8.2)安装，即可复现

[chenyulun]

能不能纯靠lock文件进行分析，只要读懂所有的lock,主流的应该是package-lock的1,3版本，pnpm-lock.yaml (lockfileVersion 5.x, 6.x and 9.x)，yarn.lock 1,2,(例如：https://github.com/snyk/nodejs-lockfile-parser)

[chenyulun]

源码中写到

// pnpm的依赖可以直接读文件链接获得， 但缺点是无法确定依赖类型
// 因此将依赖和package.json中的依赖进行匹配，以此确定依赖类型

是没办法确定依赖版本吗？如果有同一个包多少版本？
如果版本写了"sass":"*"，"sass":"^1.0.0","sass":"~1.6.0",通过lock文件应该都算好了版本，直接读取可能会比读取文件夹来的简单

[trudbot]

能不能纯靠lock文件进行分析，只要读懂所有的lock,主流的应该是package-lock的1,3版本，pnpm-lock.yaml (lockfileVersion 5.x, 6.x and 9.x)，yarn.lock 1,2,(例如：https://github.com/snyk/nodejs-lockfile-parser)

直接读lock文件的话没啥问题， 不过npm lock里面的形式是类似这样

"node_modules/fast-glob": {
      "version": "3.3.2",
      "resolved": "https://registry.npmmirror.com/fast-glob/-/fast-glob-3.3.2.tgz",
      "integrity": "sha512-oX2ruAFQwf/Orj8m737Y5adxDQO0LAB7/S5MnxCdTNDd4p6BsyIVsv9JQsATbTSq8KHRpLwIHbVlUNatxd+1Ow==",
      "dev": true,
      "license": "MIT",
      "dependencies": {
        "@nodelib/fs.stat": "^2.0.2",
        "@nodelib/fs.walk": "^1.2.3",
        "glob-parent": "^5.1.2",
        "merge2": "^1.3.0",
        "micromatch": "^4.0.4"
      },
      "engines": {
        "node": ">=8.6.0"
      }
    },

它的依赖如@nodelib/fs.stat: ^2.0.2, 只知道包名 + 版本限制， 但它到底安装在哪个路径还是得自己分析得到。

所以读lock我觉得是可以代替搜索node_modules目录和读每个包的package.json过程。

[chenyulun]

能不能纯靠lock文件进行分析，只要读懂所有的lock,主流的应该是package-lock的1,3版本，pnpm-lock.yaml (lockfileVersion 5.x, 6.x and 9.x)，yarn.lock 1,2,(例如：https://github.com/snyk/nodejs-lockfile-parser)

目的是想下先分析项目的依赖（pnpm i --lockfile-only），不下载包，然后先审核企业的项目里面的包依赖是否准入，准入才能让项目下载，
想做一个审核拦截的平台

[trudbot]

能不能纯靠lock文件进行分析，只要读懂所有的lock,主流的应该是package-lock的1,3版本，pnpm-lock.yaml (lockfileVersion 5.x, 6.x and 9.x)，yarn.lock 1,2,(例如：https://github.com/snyk/nodejs-lockfile-parser)

目的是想下先分析项目的依赖（pnpm i --lockfile-only），不下载包，然后先审核企业的项目里面的包依赖是否准入，准入才能让项目下载， 想做一个审核拦截的平台

那我觉得你的需求的话， 其实并不在意包之间的依赖关系， 而是关心有哪些依赖， 读lock文件是最好的解决方式

[chenyulun]

能不能纯靠lock文件进行分析，只要读懂所有的lock,主流的应该是package-lock的1,3版本，pnpm-lock.yaml (lockfileVersion 5.x, 6.x and 9.x)，yarn.lock 1,2,(例如：https://github.com/snyk/nodejs-lockfile-parser)

直接读lock文件的话没啥问题， 不过npm lock里面的形式是类似这样

"node_modules/fast-glob": {
      "version": "3.3.2",
      "resolved": "https://registry.npmmirror.com/fast-glob/-/fast-glob-3.3.2.tgz",
      "integrity": "sha512-oX2ruAFQwf/Orj8m737Y5adxDQO0LAB7/S5MnxCdTNDd4p6BsyIVsv9JQsATbTSq8KHRpLwIHbVlUNatxd+1Ow==",
      "dev": true,
      "license": "MIT",
      "dependencies": {
        "@nodelib/fs.stat": "^2.0.2",
        "@nodelib/fs.walk": "^1.2.3",
        "glob-parent": "^5.1.2",
        "merge2": "^1.3.0",
        "micromatch": "^4.0.4"
      },
      "engines": {
        "node": ">=8.6.0"
      }
    },

它的依赖如@nodelib/fs.stat: ^2.0.2, 只知道包名 + 版本限制， 但它到底安装在哪个路径还是得自己分析得到。

所以读lock我觉得是可以代替搜索node_modules目录和读每个包的package.json过程。

我还没来得及去分析package-lock的格式，他有1的版本和3的版本，我周末也去分析一下

[chenyulun]

高版本的pnpm的版本依赖写的很清晰的，对git非常友好，

  '@parcel/watcher@2.5.1':
    dependencies:
      detect-libc: 1.0.3
      is-glob: 4.0.3
      micromatch: 4.0.8
      node-addon-api: 7.1.1
    optionalDependencies:
      '@parcel/watcher-android-arm64': 2.5.1
      '@parcel/watcher-darwin-arm64': 2.5.1
      '@parcel/watcher-darwin-x64': 2.5.1
      '@parcel/watcher-freebsd-x64': 2.5.1
      '@parcel/watcher-linux-arm-glibc': 2.5.1
      '@parcel/watcher-linux-arm-musl': 2.5.1
      '@parcel/watcher-linux-arm64-glibc': 2.5.1
      '@parcel/watcher-linux-arm64-musl': 2.5.1
      '@parcel/watcher-linux-x64-glibc': 2.5.1
      '@parcel/watcher-linux-x64-musl': 2.5.1
      '@parcel/watcher-win32-arm64': 2.5.1
      '@parcel/watcher-win32-ia32': 2.5.1
      '@parcel/watcher-win32-x64': 2.5.1
    optional: true

[trudbot]

能不能纯靠lock文件进行分析，只要读懂所有的lock,主流的应该是package-lock的1,3版本，pnpm-lock.yaml (lockfileVersion 5.x, 6.x and 9.x)，yarn.lock 1,2,(例如：https://github.com/snyk/nodejs-lockfile-parser)

目的是想下先分析项目的依赖（pnpm i --lockfile-only），不下载包，然后先审核企业的项目里面的包依赖是否准入，准入才能让项目下载， 想做一个审核拦截的平台

因为比如npm的lock里面的packages， 直接就列举了所有的要下载的包， 只需要把包名提取出来校验一下即可