为何package-lock.json需用SHA-512做完整性校验？原理与时机解析

关于package-lock.json中integrity字段的疑问解答 #

为什么采用SHA-512进行完整性校验？

• SHA-512属于SHA-2家族哈希算法，碰撞抗性远强于SHA-1、SHA-256——如今软件供应链攻击频发，强哈希能最大程度避免恶意包通过哈希碰撞混入依赖链。
• 现代CPU对SHA-512的计算效率已经足够，不会明显拖慢npm安装速度，同时能提供更高的安全冗余，就算未来SHA-256出现安全漏洞，SHA-512的防御能力依然能保持更久。
• npm官方在设计依赖锁定机制时，把安全放在优先级首位，SHA-512是当前能平衡安全与性能的最优选择。

integrity字段的核心作用

• 防篡改：确保你安装的包和源上的原始包完全一致，杜绝中间劫持、镜像站点篡改、本地缓存被污染等场景下的恶意或损坏包安装。
• 依赖一致性：只要package-lock.json不变，不管是团队成员本地安装还是CI/CD部署，拉取的依赖版本和内容完全一致，彻底解决"本地能跑线上崩"的问题。
• 缓存加速：npm读取本地缓存时，会先对比integrity哈希，匹配上就直接复用缓存包，不用重新下载，大幅提升安装效率。

生成与变更时机

• 生成：第一次执行npm install或者npm add <package>时，npm从源拉取包文件，计算其内容的SHA-512哈希，写入package-lock.json对应依赖条目。
• 变更：
  • 修改package.json的依赖版本后执行npm install，对应依赖的integrity会更新为新版本包的哈希。
  • 执行npm update更新依赖时，被更新的包及其子依赖的integrity会同步更新。
  • 删除node_modules和package-lock.json后重新npm install，会重新生成所有依赖的integrity字段。
  • 依赖的子依赖发生版本变动（比如某个依赖自身更新了它的依赖），对应的子依赖integrity会随之变更。
  • 切换npm源后，若新源的同版本包哈希与原源不一致，npm会更新integrity为新源的哈希值。

内容的提问来源于stack exchange，提问作者Jolly