node.js - 为什么我不用 npm 来安装 yarn？

Question

在 the blog post announcing yarn (an alternative npm client)他们说，“最简单的入门方法是运行 npm install -g yarn”。但是如果你去 the "install yarn" page in their docs , “npm install yarn” 未在任何特定于平台的安装页面上列出，它仅作为“替代”页面上三个选项中的第三个提供。此外，当您 npm install yarn 时，它会打印一条弃用警告，“建议使用适合您环境的 native 安装方法安装 Yarn。”所以我的问题是如果 npm install 是最简单的安装方法，为什么在他们的文档中不推荐它？使用 npm 安装 yarn 有什么缺点吗？

Answer 1

编辑(2020/11/23):

感谢 @Kissaki 在评论中提供 Yarn 建议的最新信息。

从 Yarn 2.x 开始，Yarn 团队改变了他们的建议，现在建议通过 npm 安装该工具。此建议围绕锁定每个项目使用的 Yarn 版本的优势。这使项目能够适应不同版本的 Yarn。

来自新 yarn "Installation" page :

Using a single package manager across your system has always been aproblem. To be stable, installs need to be run with the same packagemanager version across environments, otherwise there's a risk weintroduce accidental breaking changes between versions - after all,that's why the concept of lockfile was introduced in the first place!And with Yarn being in a sense your very first project dependency, itshould make sense to "lock it" as well.

For this reason, Yarn 2 and later are meant to be managed on aby-project basis.

这类似于基于每个项目锁定构建工具版本的其他方法。见 Gradle Wrapper举个例子。

独立 Yarn 安装的优势很快就消失了，尤其是随着 Yarn 团队方向的改变。现在建议通过 npm 安装，并且从 Yarn 2.x 开始，他们的网站上似乎不再提供独立安装的说明。

---

原答案:

根据 Yarn 项目维护者的说法，通过 npm goes against the goals of the project 安装 Yarn ，可能会导致问题，并且通常比特定于平台的安装方法更糟糕。

---

推荐的特定平台安装的优点:

• Yarn 团队认为 npm 不安全且不可靠。来自 Yarn 的 "Installation" page 上的“通过 npm 安装”部分:

Note: Installation of Yarn via npm is generally not recommended. Installing Yarn with npm is non-deterministic, the package is not signed, and the only integrity check performed is a basic SHA1 hash, which is a security risk when installing system-wide apps.

For these reasons, it is highly recommended that you install Yarn through the installation method best suited to your operating system.

• 通过 npm 运行 Yarn，它是一个单独的包管理器实用程序，可能会导致极端情况(参见 issue 2072)
• 通过系统包管理器安装 Yarn 与 npm 分离，允许您在没有 npm 的情况下运行 Yarn
• 系统包管理器通常会定期运行，保持 Yarn 更新
• 通过 npm 安装 Yarn 是 slow

npm install -g yarn的优点:

• 快速简单(npm install -g yarn)
• 可以在任何 npm 环境中完成(与平台无关)
• Node.js 开发人员熟悉的范例和流程
• 可以轻松更新(npm update -g yarn)
  • 存在 Yarn 更新命令(yarn self-update)，但它似乎是 broken
• 不依赖系统包管理器
• 可以通过nvm
为不同的项目或不同版本的Node.js使用不同版本的Yarn

---

推荐安装的系统包管理器参数在提到没有官方包管理器的 Windows 时往往会崩溃(除非您计算 Windows 更新)。此外，Chocolatey 等 Windows 包管理器通常未配置为自动更新。

我不确定我是否完全同意 Yarn 团队对此的决定，但他们确实提出了一些公平的观点。 Yarn 项目还很年轻，如果它要成为 npm 的替代品，那么鼓励 npm 作为其主要安装程序是没有意义的。

无论如何，在大多数情况下，现在通过 npm 安装似乎都可以正常工作。

---

来源:

• npm vs system package manager explanation
• Additional explanation
• Short comment on the "app" vs "npm package" goal for Yarn
• Issue on how to keep Windows Yarn up to date