未修改package.json时yarn.lock为何自动变更？

可能的原因 #

• yarn版本不一致：不同版本的yarn（哪怕是同大版本的小更新）对锁文件的生成、解析逻辑有差异。比如yarn 1.x的小版本迭代可能调整了锁文件的格式或依赖解析规则，当你用和仓库提交者不同的yarn版本执行yarn install时，就可能触发锁文件的部分更新。
• 传递依赖的版本范围允许更新：你的两个依赖包在它们自身的package.json里，对md5的版本要求可能是宽松范围（比如^2.2.1）。如果md5发布了符合该范围的新版本，yarn在安装时会自动解析并更新锁文件里的md5条目——哪怕你没改自己的package.json。
• 锁文件的格式优化或冗余清理：yarn有时候会在yarn install时自动整理锁文件，比如对依赖条目排序、移除已不再使用的冗余记录，这种情况下锁文件内容会变化，但实际依赖版本并未改变。
• 传递依赖的冲突重新解析：如果你的两个依赖包对md5的版本要求存在细微差异（比如一个要>=2.2.0，另一个要<=2.3.0），yarn可能会在安装时重新计算最优的兼容版本，替换锁文件里旧的记录。

解决方法 #

• 统一团队yarn版本：在项目根目录添加.yarnrc.yml（针对yarn 2+）或在package.json的engines字段指定yarn版本，比如：

  "engines": {
    "yarn": "^1.22.19"
  }
  

  同时可以配合.nvmrc管理node版本，避免环境差异。
• 固定md5版本：在你的package.json中添加resolutions字段，强制指定md5的版本：

  "resolutions": {
    "md5": "2.3.0"
  }
  

  执行yarn install后，锁文件里的md5版本就会被固定，不会再自动更新。
• 检查yarn配置：执行yarn config list查看save-exact等配置项，确保yarn install是严格遵循锁文件的逻辑。默认情况下yarn install会优先使用锁文件，但如果配置被修改可能影响行为。
• 确认后提交更新的锁文件：如果确认锁文件的更新是合理的（比如md5的新版本是兼容的），可以提交新的yarn.lock，让团队同步这个版本，保证大家的依赖环境一致。

内容的提问来源于stack exchange，提问作者Bruno Monteiro