npm install与npm install --save的区别及package-lock.json更新异常问询

这是npm 8.x版本处理GitHub类型依赖的机制导致的：

• 当你手动修改package.json中的依赖版本后执行npm install，npm会优先校验package-lock.json中已有的依赖记录：只要lock文件里该依赖的from字段格式（github:own_module#xxx）和你修改后的package.json声明匹配，npm就会认为当前依赖已经满足要求，不会主动去GitHub仓库拉取新标签（v2.0）对应的实际代码，只是更新lock文件里的version字段，而resolved哈希会复用之前缓存的v1.0版本的commit哈希。

• 而使用npm install --save github:own_module#v2.0时，你是直接向npm发起了明确的安装指定GitHub引用的指令，npm会跳过lock文件的现有缓存校验，主动拉取v2.0标签对应的最新commit代码，重新计算resolved哈希，同时同步更新package.json和package-lock.json的所有相关字段。

如果手动修改package.json后想让lock文件正确更新，可以用以下几种方式：

• 执行npm update own_module，强制npm重新解析该依赖的GitHub引用并更新lock文件
• 先删除node_modules/own_module目录，再执行npm install
• 直接使用npm install github:own_module#v2.0（就是你已经验证有效的方式）
• 删除package-lock.json中own_module的对应条目，再执行npm install

内容的提问来源于stack exchange，提问作者rime