如何检查package-lock.json是否过时？根版本不匹配时npm ci未报错排查

为什么npm ci不报错？ #

npm ci的核心作用是校验项目依赖（dependencies/devDependencies等字段）的版本与package-lock.json完全匹配，但根层级的name和version属于项目自身元数据，不在npm ci的校验范围内——无论这两个字段是否一致，npm ci都会正常执行通过。

如何检查根层级版本匹配？ #

你需要在CI流程中添加自定义校验逻辑，手动比对两个文件的根name和version字段。以下是几种实用实现方式：

方式1：Node.js脚本校验 #

创建check-lock-meta.js文件：

const fs = require('fs');

const pkg = JSON.parse(fs.readFileSync('./package.json', 'utf8'));
const lock = JSON.parse(fs.readFileSync('./package-lock.json', 'utf8'));

const errors = [];
if (pkg.name !== lock.name) {
  errors.push(`package.json name "${pkg.name}" 与 package-lock.json name "${lock.name}" 不匹配`);
}
if (pkg.version !== lock.version) {
  errors.push(`package.json version "${pkg.version}" 与 package-lock.json version "${lock.version}" 不匹配`);
}

if (errors.length) {
  console.error('❌ 元数据不匹配错误：');
  errors.forEach(err => console.error(`- ${err}`));
  process.exit(1);
} else {
  console.log('✅ package.json 与 package-lock.json 元数据匹配');
}

CI流程中执行：

node check-lock-meta.js

方式2：Shell命令校验（适用于类Unix环境） #

直接在CI脚本中添加以下命令（需环境已安装jq工具，多数CI环境默认自带）：

# 检查name一致性
if [ "$(jq -r '.name' package.json)" != "$(jq -r '.name' package-lock.json)" ]; then
  echo "错误：package.json 与 package-lock.json 的 name 不匹配"
  exit 1
fi

# 检查version一致性
if [ "$(jq -r '.version' package.json)" != "$(jq -r '.version' package-lock.json)" ]; then
  echo "错误：package.json 与 package-lock.json 的 version 不匹配"
  exit 1
fi

方式3：整合到npm脚本 #

在package.json的scripts中添加校验命令：

{
  "scripts": {
    "check-lock-meta": "node check-lock-meta.js"
  }
}

CI流程中执行：

npm run check-lock-meta && npm ci

以上方式都会在元数据不匹配时直接终止CI流程，确保只有两个文件根字段一致时才会执行npm ci。

内容的提问来源于stack exchange，提问作者indieman