pnpm、npm 和 yarn 是 JavaScript 生态中主流的包管理工具，它们的核心目标都是管理项目依赖，但在实现方式、性能、依赖管理策略等方面存在显著差异。以下是它们的对比：
1. 核心设计理念
| 工具 | 核心理念 |
|---|
| npm | Node.js 官方包管理器，采用扁平化依赖结构（npm v3+）以减少重复安装。 |
| yarn | 由 Facebook 团队推出，旨在解决早期 npm 的安装速度慢和依赖版本不一致问题，引入 yarn.lock 锁定依赖版本。 |
| pnpm | 通过硬链接（Hard Links）和符号链接（Symlinks）共享依赖，最大化复用已安装的包，节省磁盘空间。 |
2. 依赖管理方式
| 工具 | node_modules 结构 | 依赖存储策略 |
|---|
| npm | 扁平化结构（v3+），可能导致依赖冲突（如“依赖提升”问题）。 | 每个包的每个版本独立存储在全局缓存，但每个项目会复制依赖到本地 node_modules。 |
| yarn | 类似 npm 的扁平化结构，但通过 yarn.lock 精确控制版本。 | 全局缓存 + 本地复制（与 npm 类似）。 |
| pnpm | 内容寻址存储：所有依赖的每个版本全局存储一次，通过硬链接和符号链接复用。 | 全局存储（~/.pnpm-store），项目中 node_modules 仅包含符号链接，指向全局存储。 |
示例：
假设项目依赖 lodash@1.0.0 和 lodash@2.0.0：
- npm/yarn：安装两个独立副本到
node_modules。
- pnpm：全局存储各版本一次，项目通过符号链接引用，避免重复存储。
3. 性能对比
| 指标 | npm | yarn | pnpm |
|---|
| 安装速度 | 较慢（尤其无缓存时） | 快于早期 npm | 最快（利用硬链接） |
| 磁盘占用 | 较高（依赖冗余存储） | 较高 | 最低（全局复用） |
| 冷启动 | 慢 | 中等 | 快（缓存优化） |
4. 依赖解析与锁定
| 工具 | 锁定文件 | 依赖解析策略 |
|---|
| npm | package-lock.json | 精确锁定依赖树版本，保证一致性。 |
| yarn | yarn.lock | 类似 package-lock.json，但格式更简洁，支持并行安装。 |
| pnpm | pnpm-lock.yaml | 类似锁定机制，同时结合全局存储的哈希校验，确保依赖内容一致性。 |
5. 安全机制
| 工具 | 安全性特性 |
|---|
| npm | 依赖 package.json 的版本范围，可能存在隐式依赖风险（需结合 npm audit 检测漏洞）。 |
| yarn | 提供 yarn audit 检测漏洞，支持选择性忽略漏洞。 |
| pnpm | 严格模式：禁止访问未声明的依赖（避免“隐式依赖”问题），安全性更高。 |
6. 兼容性与特性
| 工具 | 特色功能 |
|---|
| npm | - 默认与 Node.js 集成 - 支持 npx 直接运行本地命令。 |
| yarn | - workspaces（Monorepo 支持） - Plug'n'Play（无 node_modules 模式，实验性） - 交互式升级工具（yarn upgrade-interactive）。 |
| pnpm | - workspace 支持（类似 yarn） - 严格依赖隔离（避免依赖冲突） - 兼容 package.json 和 node_modules 结构。 |
7. 命令对比
| 操作 | npm | yarn | pnpm |
|---|
| 初始化项目 | npm init | yarn init | pnpm init |
| 安装依赖 | npm install | yarn | pnpm install |
| 添加依赖 | npm install <pkg> | yarn add <pkg> | pnpm add <pkg> |
| 删除依赖 | npm uninstall <pkg> | yarn remove <pkg> | pnpm remove <pkg> |
| 全局安装 | npm install -g <pkg> | yarn global add <pkg> | pnpm add -g <pkg> |
| 运行脚本 | npm run <script> | yarn <script> | pnpm <script> |
8. 适用场景
- npm：适合小型项目或依赖较少的场景，无需额外配置。
- yarn：适合需要 Monorepo（
workspaces）、稳定性和并行安装的中大型项目。
- pnpm：适合依赖复杂、磁盘空间有限或需要严格依赖隔离的项目（如微前端、Monorepo）。
总结
| 维度 | 推荐工具 |
|---|
| 速度 | pnpm > yarn > npm |
| 磁盘效率 | pnpm > yarn/npm |
| 安全性 | pnpm（严格模式） > yarn >= npm |
| 生态兼容 | npm/yarn（广泛支持） > pnpm（逐渐完善） |
选择建议：
- 追求极致性能和磁盘效率 → pnpm。
- 需要成熟的 Monorepo 支持 → yarn 或 pnpm。
- 简单项目或兼容性优先 → npm。
