如何让package-lock、integrity SHA与本地构建的tgz模块协同工作？

问题说明 #

我们有部分模块通过本地tgz包安装，package.json中的引用写法如下：

"somePackage": "file:../modules/somePackage.tgz"

生成的package-lock.json里对应模块的配置为：

"node_modules/somePackage": {
      "version": "1.0.97",
      "resolved": "file:../modules/somePackage.tgz",
      "integrity": "sha512-PXp1Q75feN1P+PHhqZmPF/J/5q5oVnALOVtdDq69Bn29sqFdwHkNL1k4DjOBYbh1C8y8beETOc7T77hMUhrWmQ==",
      "dev": true
}

每次重新构建这个tgz包后，执行npm install都会触发完整性校验失败。当前使用npm 7和Node.js 14版本，希望找到可行的解决办法，同时确认是否可以忽略这类tar包的校验和。

几种可行的解决办法 #

1. 临时强制跳过校验（应急方案） #

执行带--force参数的install命令，npm会强制跳过本地包的完整性校验，允许安装与package-lock中校验值不匹配的tgz包：

npm install --force

注意：这是全局跳过所有包的校验，仅适合临时应急，不建议长期使用。

2. 更新package-lock中的校验值（推荐方案） #

每次重新构建tgz包后，更新package-lock.json里对应包的integrity值：

• 手动删除package-lock.json中somePackage节点下的integrity字段
• 执行npm install --package-lock-only，npm会重新计算该本地tgz包的校验值并自动写入package-lock.json
  这种方式既能保留package-lock的依赖锁定功能，又能适配更新后的包，团队协作时同步更新后的package-lock即可。

3. 移除特定包的校验字段（长期维护特定包） #

直接删除package-lock.json中somePackage下的integrity字段，后续npm install时因无校验值可对比，会自动跳过该包的完整性校验。适合需要频繁更新该本地tgz包的场景，每次更新后确保该字段被移除即可。

注意事项 #

• npm 7对本地file路径的包校验比旧版本严格，目的是保障依赖一致性
• 不要全局禁用所有包的校验，会降低项目安全性
• 团队协作场景下，更新完package-lock后需同步给其他成员，避免其他人安装时遇到同样问题

内容的提问来源于stack exchange，提问作者Oleg Dulin