为什么pnpm install后package.json里的依赖版本和lock文件不一致？
用pnpm安装依赖时发现奇怪的问题，我按照惯例在package.json里写了"axios": "^1.6.2"，但执行pnpm install后，生成的pnpm-lock.yaml里显示axios版本是1.6.3，而node_modules里确实安装了最新版本。这会导致团队其他成员用npm/yarn安装时出现版本冲突，该怎么解决？
我已经试过删除node_modules和pnpm-lock.yaml重新安装，但结果还是显示最新版本。难道pnpm默认会自动升级semver范围内的最新版本吗？其他包管理器不会这样处理啊…
// package.json里的依赖片段
"dependencies": {
"axios": "^1.6.2"
}
# pnpm-lock.yaml片段（简化版）
packages:
"axios@1.6.3":
resolution: {integrity: ...}
dependencies: {}
2 条解答
问题不在于 pnpm 自动升级，而在于不同包管理器对 lock 文件的处理方式不一样。npm 和 yarn 虽然也遵循 semver，但团队如果混用包管理工具，可能会因为 lock 文件格式不同（package-lock.json vs yarn.lock vs pnpm-lock.yaml）导致解析策略差异，最终安装出不同版本。
要解决这个问题，关键是统一工具链。常见的解决方案是：
在项目根目录加一个 .npmrc 文件，强制使用 pnpm
同时在 package.json 加上包管理器提示
然后提交 pnpm-lock.yaml 和 .npmrc 到 git，确保所有人用相同流程安装。只要都走 pnpm install，就不会出现版本漂移。
另外可以启用强制检查：在 CI 里加一步验证当前使用的包管理器是否为 pnpm，防止有人误用 npm install 导致 lock 文件混乱。
总结就是：^1.6.2 装成 1.6.3 没毛病，这是预期行为。真正的解决方案是团队统一使用 pnpm，并通过 lock 文件和配置锁定环境。
engine-strict=true，再配个 pnpmfile.cjs 拦住 npm/yarn 的人。你那个版本不一致本来就是正常的，^1.6.2 装 1.6.3 完全符合 semver，pnpm 没毛病，反而是 npm/yarn 如果装出不同版本才该打。团队里谁要用别的包管理器就别怪依赖爆炸。