如何使用CI检查NPM依赖关系

Question

我最近一直试图找到一种方法来定期检查项目的依赖关系，这样理想情况下会寻找新版本的软件包以及弃用。

目前，npm-check，depcheck和其他此类插件似乎无法正常工作或无法返回我期望的结果（即未标记未使用的依赖项）。

有没有人知道测试此类事情的好方法？

Answer 1

对于新版本的软件包，我对greenkeeper感到满意。每当您发布的新版本的软件包发布时，它都会向您发送拉取请求。然后，您的CI配置应该针对PR中的代码运行测试。

不确定他们目前是否会对已弃用的软件包发出警告，但理论上如果您始终使用最新版本，则永远不会使用已弃用的版本。这是因为除非整个软件包和所有版本因某种原因而被弃用。

我不相信它会标记未使用的依赖项，但您可能会考虑让它们添加该功能。他们的支持似乎非常关注用户的需求。

Answer 2

我最终使用David NPM模块检查包的状态，并根据结果通过/失败mocha测试：

https://github.com/alanshaw/david

您可以在web-starter-kit上看到示例代码：

https://github.com/google/web-starter-kit/blob/11562f490fe17cfc88ba86742de6345469b70779/test/dependency-checker.js