为什么 npm 会拉取不在我 package-lock.json 中的依赖？

当依赖来自 GitHub 仓库、相对路径或带有 peer dependencies 时，npm 可能拉取未记录在 package-lock.json 中的包。文章解析各场景成因，并给出维护依赖完整性的处理建议。