如何阻止npm安装/更新时修改Bitbucket私有Node包的依赖配置？

我在Bitbucket上有一个私有Node包，为适配部署流水线，在package.json的dependencies中配置了带应用密码的HTTPS地址：

{
  "dependencies": {
    "my-package": "git+https://<bitbucket-user>:<bitbucket-app-password>@bitbucket.org/my-workspace/my-package.git"
  }
}

该配置可正常拉取包，但本地执行npm install或npm update时，该行会被自动修改为：

{
  "dependencies": {
    "my-package": "bitbucket:my-workspace/my-package",
  }
}

此格式本地可用但部署时会失败，推测是本地使用Git SSH连接Bitbucket导致的，请问是否有办法阻止该行为？

解决方案 #

1. 执行命令时添加--no-shorthand参数 #

每次本地运行npm install或npm update时，带上该参数可以直接阻止npm将Git地址转换为Bitbucket简写格式：

npm install --no-shorthand
npm update --no-shorthand

2. 全局/项目级配置禁用简写转换 #

如果不想每次都手动加参数，可以通过npm配置永久关闭这个行为：

• 全局生效：在终端执行以下命令，对所有npm项目生效：

  npm config set shorthand false
  

• 仅当前项目生效：在项目根目录创建或编辑.npmrc文件，添加以下配置：

  shorthand=false
  

3. 锁定依赖到具体版本/Commit #

在依赖地址后指定具体的标签、分支或Commit哈希，npm在这种场景下不会自动转换地址格式，同时还能避免意外更新到非预期版本：

{
  "dependencies": {
    // 锁定到v1.0.0版本标签
    "my-package": "git+https://<bitbucket-user>:<bitbucket-app-password>@bitbucket.org/my-workspace/my-package.git#v1.0.0",
    // 或者锁定到具体Commit哈希
    "my-package": "git+https://<bitbucket-user>:<bitbucket-app-password>@bitbucket.org/my-workspace/my-package.git#abc123def4567890"
  }
}

内容的提问来源于stack exchange，提问作者loau