在您的项目目录中运行npm list将为您提供一个依赖关系树，并且对已弃用的包进行简单的文本搜索将指出它们的来源。
作为弃用问题的解决方法，可以使用npm-shrinkwrap（example usage）。

我想npm explain就是你要找的。下面是我在当前项目中查找一个名为stable的包时的控制台结果。它表明这个包是由我的一个名为react-app-rewired的开发依赖项安装的。

$ npm explain stable
stable@0.1.8
node_modules/stable
  stable@"^0.1.8" from svgo@1.3.2
  node_modules/svgo
    svgo@"^1.2.2" from @svgr/plugin-svgo@5.5.0
    node_modules/@svgr/plugin-svgo
      @svgr/plugin-svgo@"^5.5.0" from @svgr/webpack@5.5.0
      node_modules/@svgr/webpack
        @svgr/webpack@"5.5.0" from react-scripts@4.0.3
        node_modules/react-scripts
          react-scripts@"4.0.3" from the root project
          peer react-scripts@">=2.1.3" from react-app-rewired@2.1.9
          node_modules/react-app-rewired
            dev react-app-rewired@"^2.1.9" from the root project
    svgo@"^1.0.0" from postcss-svgo@4.0.3
    node_modules/postcss-svgo
      postcss-svgo@"^4.0.3" from cssnano-preset-default@4.0.8
      node_modules/cssnano-preset-default
        cssnano-preset-default@"^4.0.8" from cssnano@4.1.11
        node_modules/cssnano
          cssnano@"^4.1.10" from optimize-css-assets-webpack-plugin@5.0.4
          node_modules/optimize-css-assets-webpack-plugin
            optimize-css-assets-webpack-plugin@"5.0.4" from react-scripts@4.0.3
            node_modules/react-scripts
              react-scripts@"4.0.3" from the root project
              peer react-scripts@">=2.1.3" from react-app-rewired@2.1.9
              node_modules/react-app-rewired
                dev react-app-rewired@"^2.1.9" from the root project