global、localのどこにもインストールされていない。
奇妙で少々怖い
npmの依存関係は複雑怪奇になりがちです。なので、知らないパッケージに依存していることはいたって一般的です。(このせいでサプライチェーン攻撃に脆弱な面もありますが)
npm v7以降であれば、依存関係の理由をボトムアップで取得できるexplainサブコマンドが使用できます。エイリアスはwhy
なのでこちらのほうが覚えやすいかも。
$ npm explain core-js
core-js@2.6.12
node_modules/core-js
core-js@"^2.4.0" from babel-runtime@6.26.0
node_modules/babel-runtime
babel-runtime@"^6.26.0" from babel-types@6.26.0
node_modules/babel-types
babel-types@"^6.26.0" from constantinople@3.1.2
node_modules/constantinople
constantinople@"^3.0.1" from pug-attrs@2.0.4
node_modules/pug-attrs
pug-attrs@"^2.0.4" from pug-code-gen@2.0.3
node_modules/pug-code-gen
pug-code-gen@"^2.0.2" from pug@2.0.4
node_modules/pug
pug@"^2.0.4" from the root project
constantinople@"^3.1.2" from pug-code-gen@2.0.3
node_modules/pug-code-gen
pug-code-gen@"^2.0.2" from pug@2.0.4
node_modules/pug
pug@"^2.0.4" from the root project
constantinople@"^3.0.1" from pug-filters@3.1.1
node_modules/pug-filters
pug-filters@"^3.1.1" from pug@2.0.4
node_modules/pug
pug@"^2.0.4" from the root project
また、それまでのバージョンでもls
サブコマンドで依存ツリーは確認できます。
$ npm ls core-js
app@1.0.0 /app
`-- pug@2.0.4
`-- pug-code-gen@2.0.3
`-- constantinople@3.1.2
`-- babel-types@6.26.0
`-- babel-runtime@6.26.0
`-- core-js@2.6.12
さて、どうやらpugが間接的に(古い)babel-runtimeを使用しているため発生しているようです。でも、今のpugはbabel-runtimeに依存していません。なんで?
pugをglobal install後、ローカルにcliをインストールしたら、変な警告が出た。
CLIをインストールした、おそらくpug-cli
のようです。よくみてください。このリポジトリ、5年間メンテされていません。
pug自体も半年以上コミットがなく気になるところですが、どうやらpug-cli
は現在最新のpug@3.0.2
ではなく、pug@2.x
を使用したまま放置されているようです。
update pug version · Issue #86 · pugjs/pug-cli
このIssueによると、有志によるフォークが利用可能なようです。
https://www.npmjs.com/package/@anduh/pug-cli