执行npm install后package-lock.json被完全重写是否有问题？该如何处理？

package-lock.json被重写是否属于异常 #

绝大多数情况下不属于异常，常见触发原因如下：

• 不同npm版本的package-lock.json结构存在差异，若新设备的npm版本与项目生成lock文件时使用的npm版本不一致，执行npm install会自动将lock文件转换为当前版本兼容的结构，触发全量重写
• 若package.json中依赖使用宽松版本声明（如^1.2.3、~2.1.0），对应依赖发布了符合版本范围的更新版本，执行npm install时会拉取最新匹配版本，同步更新lock文件内容
• 仅当确认新旧设备npm版本完全一致、package.json无任何改动、且lock文件变更出现不符合语义化版本规则的依赖版本变动时，才属于异常情况

处理方案 #

• 统一项目所有开发环境的npm版本，优先对齐项目初始生成lock文件的npm版本，可通过nvm等版本管理工具快速切换版本，避免因版本差异导致的lock文件结构变更
• 若仅需要安装与现有lock文件完全一致的依赖，不需要更新依赖版本，不要使用npm install，改用npm ci命令执行安装，该命令会严格读取package-lock.json的版本信息安装依赖，不会修改lock文件，适配新设备首次拉取项目、CI/CD构建等场景
• 若确实需要更新依赖版本，执行npm install后生成的新lock文件可以正常提交，提交前做好功能测试验证即可，团队统一npm版本后不会再出现频繁全量重写lock文件的问题
• 异常排查：若npm版本一致的情况下仍然出现不符合预期的lock文件变更，先检查本地npm源是否与团队统一的源一致，源不同可能拉取到不同的包版本触发lock变更，再排查是否存在未同步到仓库的本地package.json临时修改

内容的提问来源于stack exchange，提问作者Devang Joshi