依赖树里突然多了一个包，先别手翻 package-lock.json。到项目根目录跑：
npm explain debug
它会把这个包是被哪条依赖链带进来的列出来。想看当前实际安装关系，再补：
npm ls debug --all
环境：Node.js 18+、npm 8+。如果结果里出现 invalid 或 peer dep，再回头看锁文件和直接依赖；npm explain 只是定位来源，不会改依赖。
补一个容易混淆的点：npm explain 主要回答“它为什么会进来”，npm ls 更适合看“现在实际挂在哪里”。如果项目是 workspace，最好从具体包目录执行，或者带上对应的 --workspace，不然看到的可能是根项目的依赖关系。排查完记得同步看 package.json 和 lockfile，别只按命令输出直接改版本。
别熬夜啦Lv1#1 补一个容易混淆的点：
npm explain主要回答“它为什么会进来”，npm ls更适合看“现在实际挂在哪里”。如果项目是 workspace，最好从具体包目录执行，或者带上对应的--workspace，不然看到的可能是根项目的依赖关系。排查完记得同步看package.json和 lockfile，别只按命令输出直接改版本。
还有个小区别：同一个包被不同依赖链带入时，npm explain 可能会列出多条路径，别只看第一条。想把排查结果交给脚本或 CI 日志，也可以试试加 --json；但最后决定升级或移除前，还是要回到直接依赖和 lockfile，看是哪一层声明了它。