前端包管理工具浅谈（pnpm，npm，yarn）

一、pnpm

Fast, disk space efficient package manager

官网对比图：

特点：

1、高效利用磁盘空间：使用基于内容寻址的文件系统来存储磁盘上所有的文件，更新增量部分

如果你用到了某依赖项的不同版本，只会将不同版本间有差异的文件添加到仓库。例如，如果某个包有100个文件，而它的新版本只改变了其中1个文件。那么 pnpm update 时只会向存储中心额外添加1个新文件，而不会因为仅仅一个文件的改变复制整新版本包的内容。
所有文件都会存储在硬盘上的某一位置。当软件包被被安装时，包里的文件会硬链接到这一位置，而不会占用额外的磁盘空间。这允许你跨项目地共享同一版本的依赖。

2、速度快

3、目录扁平化，实际非扁平化：通过软链连接对应版本号的包依赖，包本身和依赖同级放在node_modules里

二、npm（3版本之后）

1、安装机制：

查询node_modules中是否存在；存在，不继续安装；不存在：

registry查询，下载（~/.npm），解压(node_modules)

2、原理：

(1) 执行自身preinstall

(2)确定首层依赖块（dependencies 和devDependencies ）

(3)获取模块（递归过程。确定版本（package-lock/仓库）=》获取模块实体（缓存/仓库）=》查找该模块依赖）

(4)模块扁平化（看是否是兼容版本，重复模块丢弃）

(5)安装模块（更新工程中的node_modules，执行模块中的生命周期函数）

(6)执行工程自身生命周期

3、存在问题：

依赖结构的不确定性。（package-lock.json(5之后)和yarn.lock诞生的原因）（遇到不同版本的包，先声明的包会扁平化到根目录，后声明的包会嵌套到包的node_modules里）
扁平化算法本身的复杂性很高，耗时较长。
项目中仍然可以非法访问没有声明过依赖的包（a依赖b，b依赖c；由于依赖提升c被装到了a的node_modules里面，a中可以。解决方案：dependency-check）

三、yarn

将依赖包的版本区间解析为某个具体的版本号
下载对应版本依赖的 tar 包到本地离线镜像
将依赖从离线镜像解压到本地缓存
将依赖从缓存拷贝到当前目录的 node_modules 目录

pnp：Plug'n'Play 是 2018 年 9 月推出的另一种安装策略，yarn 2.0

在第4步时，在.pnp.js文件中记录下该依赖在缓存中的位置（包括版本，关联）（这样就避免了大量的I/O操作同时也不会有node_modules生成）