每周轮子之 only-allow：统一规范团队包管理器
内容提要
在团队开发中，统一使用同一包管理器（如npm、yarn）至关重要。为避免因不同包管理器导致的问题，可以使用pnpm的only-allow工具。通过在package.json中添加preinstall钩子，检测用户使用的包管理器并给出错误提示。最终实现了一个功能完整的npm包only-allow。
延伸解读
preinstall 钩子的实际行为差异
文章指出，npm 和 yarn 对 preinstall 钩子的调用时机不同：npm 仅在执行 npm install 时触发，而 npm install <pkg-name> 不会；yarn 则在 yarn 和 yarn add <pkg-name> 时都会触发。这意味着如果团队想用 only-allow 限制 npm 使用者，可能无法覆盖所有安装场景，因为用户仍可通过 npm install <pkg-name> 绕过检测。该问题自 2021 年提出后尚未有解决方案。
从 UA 中提取包管理器与版本
文章通过 process.env.npm_config_user_agent 获取当前包管理器信息，其格式如 'yarn/1.22.11 npm/? node/v16.13.2 darwin arm64'。作者将解析逻辑抽离为 getPackageManagerByUserAgent 函数，通过分割字符串得到名称和版本，为后续扩展版本限制预留了空间。这比直接使用 split('/')[0] 更健壮，也便于维护。
参数校验与错误提示设计
实现中，only-allow 要求用户必须指定一个包管理器参数，且参数必须在预定义的列表（npm、yarn、pnpm）中。如果未传参或传入无效值，脚本会输出明确的错误信息并退出。这种设计避免了因参数缺失或错误导致的意外行为，提升了工具的易用性和健壮性，也符合团队统一规范的需求。
Q&A
为什么团队开发中需要统一包管理器？
统一包管理器可以避免因不同包管理器导致的 lock file 失效，从而确保项目正常运行。
pnpm的only-allow工具有什么功能？
only-allow工具可以在项目安装依赖时检测使用的包管理器，并在不符合预期时抛出错误信息。
如何在package.json中使用preinstall钩子？
可以在package.json中添加"scripts": { "preinstall": "node check-npm.js" }来使用preinstall钩子。
如何获取当前用户使用的包管理器？
可以通过process.env.npm_config_user_agent来获取当前用户使用的包管理器。
only-allow工具的代码有哪些不足之处？
代码的不足包括未能让用户指定可用的包管理器，以及缺乏对参数的健壮性检查。
npm和yarn在调用preinstall时有什么不同？
npm仅在npm install时运行preinstall，而yarn在yarn和yarn add时都会运行preinstall。
