npm 官网怎么查看一个包的依赖版本：从包详情页定位 Dependencies 与版本信息

接手一个 Node.js 项目时，最容易误判的是把 README 里的安装命令当成完整依赖清单。npm 官方包页已经把入口、当前版本、运行时依赖和版本标签拆成了几个明确区域；按下面的路径点三次，就能核对一个包“现在是什么版本、依赖哪些包、还有哪些可选版本”。

先把要核对的包页打开

这次用 npm 官方公开包页中的 express 做示例。浏览器地址栏输入 https://www.npmjs.com/package/express，不要从搜索结果里凭相似名称猜包。打开后先看页面左上方的包名，以及它下面的版本号和 Public 标记。

入口状态还可以顺手核对右侧的 Install 区域。Express 页面当前显示安装提示 npm i express，但这一步只是识别包，不需要在教程中执行命令。

看到包名是 express、版本号为 5.2.1，并且地址仍是 npm 官方域名，就可以继续点页面中部的标签。版本号和下载量会更新，不要把截图里的数字当成永久常量。

第1步：打开 Dependencies 查看运行时依赖

操作路径：包详情页中部标签栏 → 28 Dependencies。点击后等待依赖面板出现，不要点击 README 里的安装命令或侧栏的第三方分析链接。

成功状态是页面出现 Dependencies (28)，下方另有 Dev Dependencies (16)。前一组包括 accepts、body-parser、router 等运行时依赖；后一组包括 mocha、eslint、supertest 等开发或测试依赖。这里的数字只说明 npm 当前页面列出的直接依赖数量，不等于本地安装后的完整传递依赖树。

第2步：进入单个依赖页确认名称

仍在 Dependencies 面板时，点击需要继续追踪的依赖名称，例如 router。正确结果是地址变为 npm 的另一个包页，并且主标题变成被点击的包名。返回 Express 包页后再继续版本核对，避免把依赖包的版本误记成主包版本。

如果只是想记录清单，不必逐个打开依赖。把鼠标停留在名称上只能看到链接，真正需要核对某个依赖的版本或它自己的依赖时，才进入对应包页。

第3步：打开 Versions 查看标签与版本历史

操作路径：回到 Express 包页 → 标签栏 → 288 Versions。版本面板顶部先看 Current Tags，再向下看 Version History。

成功状态是页面出现版本、近 7 天下载量和 Tag 三列。当前页面显示 5.2.1 对应 latest，4.22.2 对应 latest-4；版本历史区还提供 show deprecated versions 选项。看到一个版本号时，要连同 Tag 一起记下来，因为“最新稳定线”和“旧主版本维护线”可能同时存在。

记录结果时别把动态数据写死

写排查记录时建议保存包页 URL、核对时间和你实际看到的 Tag。下载量、依赖数和“发布多久前”都属于会变化的页面字段；如果要和项目复现环境比较，还应回到项目自己的 package-lock.json 或 npm-shrinkwrap.json。

常见问题：Dependencies 和 Versions 怎么区分

Dependencies 里显示的是全部依赖吗？

不是。它主要展示该包声明的直接运行时依赖，开发依赖单独列出；传递依赖要在本地项目的锁文件或安装结果中继续核对。

为什么同一个包会有 latest 和 latest-4？

npm Tag 可以指向不同版本线。一个标签表示什么，要以 Versions 页面的 Current Tags 为准，不能只看版本号大小。

看到 5.2.1 就能确定项目安装的是 5.2.1 吗？

不能。包页反映的是 registry 当前信息，项目可能被精确版本、范围版本或锁文件固定。项目验收时要把 npm 包页和本地锁文件放在一起看。

最后确认：三处状态连起来再下结论

一次完整核对至少应留下三条证据：包详情页确认目标包，Dependencies 面板确认直接依赖分类，Versions 面板确认 Tag 与版本历史。三处名称能相互对应，且记录了官方 URL 和核对时间，才适合写进升级评估或故障复盘。