依赖管理为什么总被问到？
你有没有遇到过这种情况：项目刚接手，运行一下 npm install，结果报错一堆找不到模块？或者团队里有人更新了某个库，整个系统突然就跑不起来了。这些问题背后，其实都和“依赖管理”有关。现在不管是前端、后端还是运维岗位，面试官都喜欢从这儿下手，看看你是不是真懂项目协作和版本控制。
常见的依赖管理工具有哪些？
这个问题几乎是必问的。比如前端常用 npm、yarn、pnpm；Python 用 pip 和 requirements.txt，或者更现代的 Poetry；Java 有 Maven 和 Gradle；Go 直接用 go mod。别光说名字，得能说出一两个区别。比如说 yarn 支持离线安装，pnpm 用硬链接节省磁盘空间，npm 默认会把依赖扁平化，容易产生“幽灵依赖”。
什么是锁文件？为什么它重要？
你有没有发现每次装完包，除了 package.json 还多出个 package-lock.json 或者 yarn.lock？这个就是锁文件。它的作用是记录当前安装的所有依赖及其子依赖的具体版本号。没有它，今天你本地跑得好好的，明天别人 clone 代码一装，可能因为某个子依赖升级了，导致行为不一致甚至崩溃。面试官如果问到这点，可以举个实际例子：某次上线因为没提交 lock 文件，CI 环境自动拉了新版 axios，接口返回结构变了，页面直接白屏。
如何处理依赖冲突？
比如项目里有两个库，都依赖 lodash，但要的版本不一样。这时候包管理器怎么处理？npm 会尝试在 node_modules 里为不同版本创建嵌套结构，而 yarn 也能通过 resolutions 字段强制指定某个版本。你可以提一下 yarn 的 resolutions 配置：
{
"resolutions": {
"lodash": "^4.17.21"
}
}这样所有地方用的都会被统一成指定版本。
如何排查一个依赖的安全漏洞？
公司越来越重视安全，这也是高频考点。比如 npm audit 可以列出依赖中的已知漏洞，yarn 也有类似命令。但别只说“我跑一下 audit”，要说清楚后续动作：比如看到中高危漏洞，先查是否已有修复版本，再测试替换后会不会影响功能。也可以提到 Snyk 这类工具集成到 CI 流程中，自动扫描。
私有依赖该怎么管理？
有些公司内部有共用组件库，不想公开发布到 npm。这时候可以用私有 registry，比如 Verdaccio 搭建本地源，或者用 GitHub Packages。也可以直接通过 Git 地址安装：
npm install git+https://github.com/username/my-private-pkg.git#v1.0.0但要注意权限配置和 CI 环境能否拉取。
Tree Shaking 是什么？和依赖管理有关系吗？
看起来像打包问题，其实也和依赖有关。如果你引入了一个大库但只用了其中一两个方法，却把整个库打进去了，这就是浪费。Tree Shaking 能帮你“摇掉”没用的代码，前提是你用的模块是 ES Module 格式，并且构建工具（如 Webpack、Vite）能静态分析。所以选依赖的时候，也要留意它是否提供 ESM 版本。
面试时怎么答才能加分？
别背概念，结合真实场景讲。比如你说：“我们之前有个项目加载慢，排查发现 moment.js 被多个组件间接引用，后来换成 dayjs 并统一规范依赖引入方式，体积降了 30%。” 这种回答既展示了技术判断，又体现了解决问题的能力，比单纯复述定义强得多。