@chinesedfan yarn upgrade-interactive 사용해 보셨습니까?

@milesj 예, 결과는 동일하며 문제 설명의 재현 단계도 업데이트했습니다.

이는 yarn add [email protected] 이 package.json을 요청한 대로 _exactly_ 버전 1.0.0 로 설정하기 때문입니다.

yarn upgrade 는 package.json semver 범위를 존중하며 정확히 버전 1.0.0을 지정했기 때문에 다른 버전으로의 업그레이드를 제안하지 않습니다.

다음과 같은 몇 가지 방법으로 이 문제를 해결할 수 있습니다.

• yarn upgrade --latest 는 semver 범위를 무시하고 레지스트리에서 latest 로 태그가 지정된 항목을 봅니다.
• ^1.0.0 와 같은 버전 범위를 허용하도록 package.json을 변경한 다음 yarn upgrade (변경된 범위에 대한 잠금 파일을 업데이트하려면 먼저 yarn install 해야 할 수 있음)
• yarn upgrade [email protected] 또는 yarn upgrade is-alphanumerical@^1.0.0 와 같이 $ upgrade 에 버전을 명시적으로 지정합니다.

편집하다:

죄송합니다. 방금 다른 패키지 이름이 있다는 것을 알았습니다. alphanumerical 와 alphabetical 는 얼핏 똑같아 보입니다 :)

맞습니다. is-alphanumerical 에 대한 업그레이드가 없기 때문에 종속성 트리는 전이 종속성을 처리하기 위해 더 깊이 탐색되지 않습니다.

--force 플래그를 추가하여 하위 종속성이 있는지 확인할 수 있습니다. 그렇지 않으면 당신이 옳다고 생각합니다 yarn remove is-alphanumerical 및 yarn add is-alphanumerical 외에는 쉬운 방법이 없습니다.

@rally25rs 답변 감사합니다! 2개의 경우를 더 테스트했습니다.

• yarn upgrade is-alphabetical --force 도 작동하지 않습니다.
• yarn upgrade is-alphanumerical 는 이미 최신 버전이라도 모든 하위 종속성을 업그레이드합니다.
  
  
  
  • 그러나 지정된 하위 종속성을 업그레이드하려는 경우 여전히 편리하지 않습니다.
  
  

예, 이것은 현재 원사의 주요 문제입니다. 이미 #2394에서 논의 중입니다.

복제 #2394

다시 열어주세요: 중복되지 않습니다.

2394는 meck-test-bb 패키지 복제에 대해 설명합니다(간접 종속성):

나는 meck-test-bb의 사본을 두 개 얻었다

이 문제는 간접적인 종속성을 업그레이드하는 기능에 대해 설명합니다.

@rally25rs 핑을 하는 것을 용서하세요.

@rally25rs , 제발, 중복되지 않는 두 가지 문제를 모두 종료했습니다. 잘못된 것입니다. 간접 의존성을 업그레이드할 수 있는 능력을 주십시오!

죄송합니다. 다른 문제에 대해 약간의 혼란이 있었습니다. 나는 원래 2394가 --deep 플래그 또는 이와 유사한 것을 사용하여 전이적 dep를 업그레이드하는 방법을 요구하고 있다고 생각했기 때문에 이 문제를 그것의 중복으로 표시했습니다. 나중에 2394를 다시 읽은 후 나는 그것이 내가 원래 생각했던 것과 같은 복제가 아닌 다른 것에 관한 것이라고 생각합니다.

이 기능 요청에 대해 +1입니다. 또한 중간에 특정 간접 종속성을 수동으로 업그레이드해야 하는 나와 같은 바보를 위한 예도 있습니다.

명시적 종속성 jsonwebtoken 가 취약한 jws=3.1.4 에 대한 암시적 종속성 jws^3.0.0 을 해결했으며 대신 패치된 3.1.5 로 해결해야 합니다.

예를 들어 아래의 yarn.lock에서 jws 항목을 삭제하고 $#$ yarn 를 다시 실행하십시오. 간접적인 종속성과 영향을 받는 패키지는 다른 것을 건드리지 않고 업데이트됩니다(최소한 원사 v1.3에서).

jws@^3.0.0, jws@^3.1.4:
  version "3.1.4"
  resolved "https://registry.npmjs.org/jws/-/jws-3.1.4.tgz#f9e8b9338e8a847277d6444b1464f61880e050a2"
  dependencies:
    base64url "^2.0.0"
    jwa "^1.1.4"
    safe-buffer "^5.0.1"

편집: 구두점

@alex-thewsey-ibm, 해결 방법에 감사드립니다!

원사 v1.7에서 작업했습니다.

ty, 작업 원사 1.9.2

단일 종속성을 위한 경우에도 선택적 종속성 resolutions 으로 원사를 조금씩 이동하는 데 도움이 될 수 있습니다. 힌트를 주신 @remolueoend 에게 감사드립니다!
https://yarnpkg.com/lang/en/docs/selective-version-resolutions/

문서에서:

{
  "name": "project",
  "version": "1.0.0",
  "dependencies": {
    "left-pad": "1.0.0",
    "c": "file:../c-1",
    "d2": "file:../d2-1"
  },
  "resolutions": {
    "d2/left-pad": "1.1.1",
    "c/**/left-pad": "1.1.2"
  }
}

사용자에게 yarn.lock https://github.com/postcss/autoprefixer/issues/1184 에서 caniuse-lite 를 업데이트하는 방법을 제안하려면 Autoprefixer에서 이 기능이 필요합니다.

동일한 문제가 있습니다. 하위 종속성을 업그레이드하기 위해 yarn upgrade caniuse-lite browserslist 를 예상했습니다. 그렇게 하지도 않았고 종속성이 아니기 때문에 업그레이드할 수 없다는 오류 메시지도 표시하지 않았습니다.

관련 잠금 파일 항목을 삭제한 다음 @alex-thewsey-ibm이 제안한 대로 yarn 를 다시 실행하면 즉각적인 문제가 해결되었습니다.

실에 tni 기능이 없는 것이 이상합니다. 저는 원사(및 npm)를 처음 사용하므로 이를 수행할 방법이 있어야 한다고 가정합니다. 이 스레드에서 아무도 모르는 명확 하지 않은 방법이 있는지 또는 실제로 방법이 없는지 아직 확실하지 않습니다.

package.json에 추가하지 않고 lockfile의 전이적/간접적 종속성을 업그레이드할 수 있는 방법이 정말 없다면... 원사 사용자가 그것 없이는 어떻게 하는지 이해가 되지 않습니다.

이것은 예기치 않은 동작입니다 IMO - 최근에 yarn upgrade [email protected] 로 lodash를 업데이트하려고 시도했지만 일시적인 종속성에 대해 여전히 업데이트되지 않았습니다.

나는 여전히 모든 major (^4.XX) 및 patch (~4.17.X) 버전이 이전 버전을 가리키는 상태로 남아 있었습니다.

이를 수정하는 유일한 방법은 yarn.lock 를 수동으로 편집한 다음 yarn upgrade 를 실행하여 변경 사항을 통합하는 것입니다. 그런 널리 사용되는 도구에서 조금 더 나은 것을 기대할 수 있습니다.

이 승인된 버그 또는 원사는 기본적으로 보수적이며 수동으로 yarn.lock 를 편집하거나 일부 플래그를 사용해야 합니까?

@Machiaweliczny 와 같은 보안 경고를 해결해야 하는 것 같습니다. 응답성이 높은 프로젝트의 경우에도 수정 및 릴리스를 기다리는 데 지연이 있습니다.

실제로 이것은 간접 종속성의 보안 문제에 문제가 있으며 yarn.lock 를 편집하는 해결 방법은 효과적이기는 하지만 실망스럽고 자동화하기 어렵습니다. 어떤 이유로 이것이 기본 동작이 아닌 경우 Yarn이 간접 종속성을 따르도록 하는 --include-indirect 와 같은 옵션을 추가하는 것이 좋습니다.

옵션이 필요하지 않다고 생각합니다. 왜 yarn upgrade [an indirect dependency] 가 yarn.lock을 필요 없이 종속성 트리에서 허용하는 최신 버전의 간접 종속성으로 업데이트하지 않는지 모르겠습니다. 추가 옵션. 지금은 그냥 노옵인 것 같은데?

그러나 내가 만족하는 또 다른 해결 방법은 내 package.json에 resolutions 를 추가하는 것입니다. lodash 가 간접 종속성이고 보안 취약점을 피하기 위해 >= 4.7.13이어야 한다는 것을 알고 있으면 package.json에 추가할 수 있습니다.

  "resolutions": {
    "lodash": ">= 4.17.13"
  }

그런 다음 yarn install 를 실행하면 해당 요구 사항을 충족하도록 yarn.lock 를 업데이트하거나 간접 종속성과 충돌하여 업데이트할 수 없는 경우 불평합니다.

이것은 실제로 제 경우에 꽤 잘 작동했던 것 같습니다. "해결 방법"이 아니라 의도한 솔루션인지 궁금합니다. 그래도 발견하는 데 시간이 좀 걸렸습니다. 그리고 이것이 보편적/올바른 해결책인지 또는 어떤 경우에는 문제가 있을 수 있는지 확신할 만큼 충분히 이해하지 못합니다. 간접 종속성을 업그레이드하는 '올바른' 솔루션이라면 찾기가 다소 어려웠습니다.

업데이트하려는 전이적 dep를 yarn이 설치하지 않고 package.json 변경 사항을 커밋하지 않고 yarn.lock만 설치하는 이유는 무엇입니까?

업데이트하려는 전이적 dep를 yarn이 설치하지 않고 package.json 변경 사항을 커밋하지 않고 yarn.lock만 설치하는 이유는 무엇입니까?

나는 그것이 (항상?) 작동할 것이라고 생각하지 않는다. 왜냐하면 단일 버전이 모든 관련 semver 범위를 만족하더라도 원사는 동일한 패키지의 여러 버전을 행복하게 설치할 것이기 때문이다. 따라서 원하는 버전이 설치되지만 원하지 않는 버전은 제거 되지 않습니다.

@djmitch 맞아요. 예상 범위 내에서 버전을 설치해야 합니다. 이상적이지는 않고 약간 지루하지만 현재로서는 가능한 임시방편입니다.

@djmitche 실제로 이것은 간접 종속성의 보안 문제에 문제가 있으며 yarn.lock 을 편집하는 해결 방법은 효과적이기는 하지만 실망스럽고 자동화하기 어렵습니다.

이것은 약간 더 자동화 가능한 또 다른 해결 방법입니다.

yarn remove is-alphanumerical
yarn add is-alphanumerical

PR 설명의 예를 사용하면 최상위 수준 dep를 제거한 다음 is-alphanumerical 로 지정된 범위(예: 캐럿 범위)에 따라 모든 최신 하위 설명을 가져오는 다시 추가합니다. . 그런 다음 새 잠금 파일을 생성합니다.

부작용은 이상적이지 않은 모든 하위 설명을 업데이트한다는 것입니다. sub-dep A의 보안 문제의 경우 sub-dep A 만 업데이트하고 싶습니다.

보안 문제를 해결하기 위해 서브 뎁 A를 직접 뎁으로 추가하는 해결 방법은 혼란(패키지를 직접 사용하지 않음)과 유지 관리 부담을 일으키기 때문에 더 나쁩니다.

원사 제거는 영숫자
원사 추가는 영숫자

이것은 실제로 종속성을 업데이트하는 유일한 신뢰할 수 있는 방법인 것 같습니다. 나는 오늘 우리가 1년 전에 1.1.0 로 업데이트된 패키지의 1.0.0 버전에 갇혀 있다는 것을 깨달았습니다. 우리가 사용하고 있던 패키지는 ^1.0.0 를 사용했고 우리가 그 패키지를 "업그레이드"할 때마다 의존성의 새로운 1.1.0 버전을 선택하지 않았습니다.
이 문제가 발생한 이유를 조사하느라 하루를 낭비하지 않고 1년 전에 수정했어야 하는 우리 제품에 조용히 실패하는 꽤 나쁜 버그가 있다는 것이 밝혀졌습니다.

수동으로 yarn.lock을 편집하거나 패키지를 제거한 다음 다시 추가하거나 선택적 해결을 사용하는 것이 간접 종속성을 업데이트하는 "방법"이라는 것이 믿기지 않습니다.

IMO, yarn upgrade 는 간접적인 종속성을 최신 승인된 semver 버전으로 업데이트해야 하므로 패키지를 업그레이드합니다. 내 말은, semver 범위에 중단이 있으면 간접 종속성을 업데이트하므로 항상 수행해야 합니다.

이를 위해 일종의 외부 스크립트를 작성하는 것이 도움이 될까요? 주어진 패키지에 대한 모든 yarn.lock 항목을 제거한 다음 원사를 다시 실행할까요?

이를 수행하는 간단한 스크립트가 있습니다: https://gist.github.com/pftg/fa8fe4ca2bb4638fbd19324376487f42

관리자 중 한 명이 레이블을 cat-feature 에서 cat-bug 로 변경할 수 있습니까?

관리자 중 한 명이 cat-feature에서 cat-bug로 레이블을 변경할 수 있습니까?

왜요? 이것은 버그가 아닙니다. 설계된 대로입니다. yarn upgrade 는 전이 종속성을 업그레이드하는 데 사용되지 않았습니다. 원래 열린 "문제"는 기능 요청으로 레이블이 지정됩니다.

내부적으로 upgrade 는 yarn outdated 를 사용하여 최신 버전과 업그레이드할 버전을 결정합니다. outdated 는 직접적인 종속성만 확인합니다.

내가 틀릴 수도 있고 변경되었을 수도 있지만 npm upgrade yarn upgrade 가 마지막으로 재작업된 3년 전 현재 npm upgrade는 다음을 수행하는 방법도 제공하지 않습니다. 전이적 dep를 업그레이드하십시오. (다시 말하지만, 수년에 걸쳐 변경되었을 수 있으며 npm의 변경 사항에 대해 너무 최신 정보가 아닙니다).

누구나 이 기능을 추가하기 위해 PR을 제출할 수 있습니다. 이것은 오픈 소스 프로젝트이며 기여하는 것은 커뮤니티 전체에 달려 있습니다. 이 기능 요청은 수년 동안 열려 있었지만 아무도 그것을 구현하기 위해 나서지 않았으며 이것이 "고정"되지 않은 이유입니다.

@nnmrts 내 스크립트 https://github.com/yarnpkg/yarn/issues/4986#issuecomment -562719589를 확인할 수 있습니까? 지금은 도움이 될까요?

@rally25rs 죄송합니다. 피곤하고 심술궂습니다. 제 댓글은 해결된 것으로 간주합니다. 😬

@nnmrts 제 스크립트 #4986(댓글) 을 확인해 주시겠습니까? 지금 당장은 도움이 될까요?

그 스크립트는 불행히도 나에게 효과가 없었고 어제 시도했습니다. 내가 뭔가 잘못했을 수도 있지만 내 전체 yarn.lock 파일이 스크립트에 의해 "비워졌습니다".

이것이 얼마나 좋은 해결 방법인지는 모르겠지만 내가 작성한 이 스크립트를 실행했습니다.

const fs = require('fs')
const lockfile = require('@yarnpkg/lockfile')
const package = require('./package.json')

const lock = lockfile.parse(fs.readFileSync('yarn.lock', 'utf-8')).object

const allDeps = new Set()

const parseDep = ([name, version]) => {
  allDeps.add(`${name}@${version}`)
}

Object.entries(package.dependencies).forEach(parseDep)
Object.entries(package.devDependencies).forEach(parseDep)

const newLock = Object.fromEntries(Object.entries(lock).filter(([dep]) => allDeps.has(dep)))
const newLockString = lockfile.stringify(newLock)

fs.writeFileSync('yarn.lock', newLockString)

그런 다음 yarn install 를 실행하고 간접 종속성의 최신 버전을 설치하는 것 같습니다.

깊은/간접적인 종속성을 성공적으로 해결할 수 있었습니다. 언제쯤 정식 지원이 되는지 궁금합니다.

https://medium.com/@ayushya/upgrading -javascript-packages-deep-dependencies-using-yarn-8b5983d5fb6b

나는 yarn.lock을 다시 생성하는 위험을 해결하고 설명했으며 수행해야 할 작업을 제안했습니다.

이것이 여러분에게도 효과가 있는지 알려주세요. 또는 업그레이드 프로세스를 개선하기 위한 제안.

@ayushya 흠, 효과가 있는 것 같군요, 천재.

원사가 간접 종속성(또는 다른 명령?)에 yarn upgrade 가 있는 패치를 허용할지 궁금합니다. 방금... ​​그렇게 했나요?

@jrochkind 내 직접적인 종속성이 아니더라도 업그레이드할 간접 종속성의 yarn upgrade 를 예상했을 것입니다. 해당 기능이 없으면 간접 종속성 업데이트에 몇 년 뒤쳐질 수 있습니다.

제 경우에는 fsevents yarn install (https://github.com/fsevents/fsevents/issues/278 ). fsevents 는 내가 직접 사용하는 패키지가 아니라 webpack-dev-server 사용하는 것입니다. 하지만 놀랍게도 webpack-dev-server 가 이 앱에 처음 설치되었을 때 존재했던 모든 버전에 잠겨 있었습니다.

나는 그것을 업그레이드하기 위해 이 트릭을 사용해야 했고, 이것은 완전한 해킹처럼 보였습니다. https://github.com/yarnpkg/yarn/issues/4986#issuecomment -395036563

해결 방법이 작동하지 않습니다. 불행히도 오래된 종속 종속성이 삭제된 후 yarn.lock 파일에 다시 추가되었습니다. yarn install 실행 후 node_modules 폴더와 yarn.lock 파일에서 다시 볼 수 있습니다.

해결 방법이 원사 작업 공간과 호환되지 않을 수 있습니까?

해결 방법이 작동할 때 @FelipeLujan 은 깊은 종속성이 여전히 yarn.lock 파일에 다시 추가됩니다. 그러나 새 버전 이 릴리스 되고 종속성 트리에서 허용하는 경우에만 새 버전이 있습니다. 일부 중개 종속성이 업그레이드를 허용하지 않는 제한을 나타내는 경우에도 여전히 업그레이드할 수 없습니다. 트리의 제한 사항이 허용하는 최신 버전으로 업그레이드되었습니다.

나는 원사 작업 공간을 사용하지 않으므로 관련성이 있는지 말할 수 없습니다.

@FelipeLujan AFAIK 원사 작업 공간도 비슷한 방식으로 작동합니다.

패키지 섹션을 삭제하는 해결 방법은 패키지를 최신 MINOR/PATCH 버전으로만 업그레이드합니다.
패키지를 최신 MAJOR 버전으로 업그레이드하려면 yarn why package-name-here 를 실행하는 패키지 종속성 체인을 찾아 체인의 맨 위에서 패키지를 업그레이드해야 합니다.

주의: 패키지를 최신 MAJOR 버전으로 업그레이드하면 몇 가지 주요 변경 사항이 발생할 수 있으므로 코드를 테스트하십시오.

https://github.com/djmitche/yarn-minify 가 도움이 될 수 있습니다.

@ayushya 의 해결 방법은 간접적인 종속성을 제거하기 위해 수동으로 yarn.lock을 편집한 다음, 이후 버전에서 다시 추가하기 위해 yarn install을 실행하는 것입니다.

나에게 이것은 yarn.lock을 수동으로 편집할 것을 요구하기 보다는 yarn에 내장되어야 하는 기능처럼 보입니다. 종속성을 삭제하고 yarn install을 실행하기 위해 수동으로 편집한 것처럼 기능을 만드는 것은 상당히 간단해야 할 것 같습니다. 나는 이 기능이 정말로 원사에 내장되어야 한다고 생각하는데, 왜 그렇지 않은지 혼란스럽습니다.

깊은/간접적인 종속성을 성공적으로 해결할 수 있었습니다. 언제쯤 정식 지원이 되는지 궁금합니다.

https://medium.com/@ayushya/upgrading -javascript-packages-deep-dependencies-using-yarn-8b5983d5fb6b

나는 yarn.lock을 다시 생성하는 위험을 해결하고 설명했으며 수행해야 할 작업을 제안했습니다.

이것이 여러분에게도 효과가 있는지 알려주세요. 또는 업그레이드 프로세스를 개선하기 위한 제안.

@alex-thewsey-ibm이 제공한 것과 동일한 해상도라고 생각합니다. yarn.lock에서 특정 종속성을 삭제하는 것이 도움이 되었습니다.
어쨌든 해킹 감사합니다☺️

$ package.json resolutions 를 사용하면 저에게 효과적이었습니다. https://github.com/webpack/webpack-dev-server/issues/2739#issuecomment -695164486

이것은 적어도 일부 경고를 반환해야 합니다.

yarn add [email protected]
yarn upgrade is-alphabetical

이것이 내가 대신 얻는 것입니다.

success Saved lockfile.
success Saved 0 new dependencies.

새로운 is-alphabetical 패키지 버전을 사용할 수 있지만 package.json 및 yarn.lock 에는 변경 사항이 없습니다.