global、localのどこにもインストールされていない。
奇妙で少々怖い
npmの依存関係は複雑怪奇になりがちです。なので、知らないパッケージに依存していることはいたって一般的です。(このせいでサプライチェーン攻撃に脆弱な面もありますが)
npm v7以降であれば、依存関係の理由をボトムアップで取得できるexplainサブコマンドが使用できます。エイリアスはwhy
なのでこちらのほうが覚えやすいかも。
$ npm explain core-js
[email protected]
node_modules/core-js
core-js@"^2.4.0" from [email protected]
node_modules/babel-runtime
babel-runtime@"^6.26.0" from [email protected]
node_modules/babel-types
babel-types@"^6.26.0" from [email protected]
node_modules/constantinople
constantinople@"^3.0.1" from [email protected]
node_modules/pug-attrs
pug-attrs@"^2.0.4" from [email protected]
node_modules/pug-code-gen
pug-code-gen@"^2.0.2" from [email protected]
node_modules/pug
pug@"^2.0.4" from the root project
constantinople@"^3.1.2" from [email protected]
node_modules/pug-code-gen
pug-code-gen@"^2.0.2" from [email protected]
node_modules/pug
pug@"^2.0.4" from the root project
constantinople@"^3.0.1" from [email protected]
node_modules/pug-filters
pug-filters@"^3.1.1" from [email protected]
node_modules/pug
pug@"^2.0.4" from the root project
また、それまでのバージョンでもls
サブコマンドで依存ツリーは確認できます。
$ npm ls core-js
[email protected] /app
`-- [email protected]
`-- [email protected]
`-- [email protected]
`-- [email protected]
`-- [email protected]
`-- [email protected]
さて、どうやらpugが間接的に(古い)babel-runtimeを使用しているため発生しているようです。でも、今のpugはbabel-runtimeに依存していません。なんで?
pugをglobal install後、ローカルにcliをインストールしたら、変な警告が出た。
CLIをインストールした、おそらくpug-cli
のようです。よくみてください。このリポジトリ、5年間メンテされていません。
pug自体も半年以上コミットがなく気になるところですが、どうやらpug-cli
は現在最新の[email protected]
ではなく、[email protected]
を使用したまま放置されているようです。
update pug version · Issue #86 · pugjs/pug-cli
このIssueによると、有志によるフォークが利用可能なようです。
https://www.npmjs.com/package/@anduh/pug-cli