使用AWS CodePipeline时npm install为何不符合预期？

问题背景 #

手动部署Node应用到EC2完全正常：

• SSH登录EC2执行git clone git@github.com:USERNAME/REPO.git
• 进入项目目录执行npm install，日志显示added 2278 packages, and audited 2279 packages in 34s

AWS CodePipeline+CodeDeploy自动化部署出现异常：

• 推送代码至master分支触发部署，appspec.yml中执行sudo npm install > npm_install.log 2>&1
• 日志显示added 1991 packages from 970 contributors and audited 1994 packages in 61.326s
• 自动化部署时出现手动部署从未见过的core-js捐赠提示

已完成排查：

• 确认SourceArtifact中的package.json、package-lock.json与本地/远程master分支完全一致
• 自动化部署后清空项目目录，用个人访问令牌(PAT)克隆代码，执行npm install仍得到1991个包

核心原因与解决方案 #

1. npm版本不一致 #

手动登录用的是当前用户（如ec2-user）的npm，而sudo npm调用的是root用户的npm，两者版本大概率不同。不同npm版本处理package-lock.json的逻辑存在差异，且core-js的捐赠提示是特定版本npm才会触发的行为。

验证方式：
分别执行npm -v（当前用户）和sudo npm -v（root用户），对比输出的版本号。

解决方法：

• 统一npm版本：为root用户安装与当前用户相同版本的npm；或在自动化脚本中使用当前用户的npm绝对路径，例如/home/ec2-user/.nvm/versions/node/v18.17.0/bin/npm install（路径根据实际nvm安装位置调整）。
• 避免使用sudo：确保CodeDeploy部署用户（默认是codedeploy-agent，可自定义）对项目目录拥有读写权限，直接运行npm install而非sudo npm install。

2. NODE_ENV环境变量差异 #

自动化部署环境可能默认设置了NODE_ENV=production，此时npm会跳过devDependencies的安装，导致包数量减少；而手动部署时默认是development环境，会安装所有依赖。

验证方式：
手动执行sudo NODE_ENV=production npm install，查看是否得到1991个包。

解决方法：

• 在appspec.yml的脚本中显式设置环境变量：NODE_ENV=development npm install；或执行npm install --production=false强制安装所有依赖。

3. npm缓存目录差异 #

当前用户和root用户的npm缓存目录不同（默认分别为~/.npm和/root/.npm），缓存的包内容可能不一致，导致安装时复用的缓存包数量不同。

验证方式：
执行sudo npm cache clean --force后再运行sudo npm install，观察包数量是否变化。

解决方法：

• 在自动化脚本中添加缓存清理步骤：sudo npm cache clean --force && sudo npm install；或统一配置npm缓存目录。

4. 用户上下文与权限差异 #

用sudo执行npm时，node_modules目录的所有权为root，而手动部署时属于普通用户。部分包的安装逻辑可能依赖用户权限，或后续部署步骤因权限问题导致依赖缺失。

解决方法：

• 修改项目目录权限，让CodeDeploy部署用户拥有读写权限：sudo chown -R ec2-user:ec2-user /path/to/project（根据实际用户调整）。
• 配置CodeDeploy使用普通用户执行部署脚本，避免使用root权限。

内容的提问来源于stack exchange，提问作者Matt George