npm如何校验包？如何跨机器校验npm/node安装包一致性？

1. npm执行checksum校验的位置 #

npm的校验逻辑分两个核心环节：

• 下载阶段：校验逻辑实现在npm-registry-fetch包中，从registry拉取包元数据时，会拿到对应版本包压缩包的shasum和integrity哈希值，包tarball下载完成后会第一时间计算本地文件哈希和元数据返回值比对，不一致直接抛出安装错误终止流程。
• 安装复现阶段：底层依赖arborist生成依赖树时，会将所有依赖的哈希、版本、来源地址写入package-lock.json或npm-shrinkwrap.json文件。后续执行npm install、npm ci命令时，会直接对比本地已安装包的哈希值和lock文件中的记录，不一致会重新拉取对应包。

2. 跨机器安装情况比对可行性 #

完全可以实现三类比对：

• 单台机器本地包和npm registry官方内容比对：将本地每个依赖的integrity哈希值，和registry对应版本包元数据中的dist.integrity字段比对即可。
• 两台机器项目级依赖比对：分别导出两台机器对应项目的lock文件、依赖树结构，做字段级比对即可确认安装内容是否完全一致。
• 全局npm包比对：分别导出两台机器全局安装的npm包列表、对应哈希值做比对即可。

3. 包管理器内置校验能力说明 #

npm已经内置基础校验能力：

• npm ci命令会自动校验所有依赖的哈希和lock文件是否匹配，不匹配直接终止执行，不会做版本浮动更新。
• npm ls命令可以导出当前项目的完整依赖树与版本信息。
• npm audit的底层逻辑也会调用包校验逻辑，验证包来源与完整性。
  但npm没有内置批量导出所有包校验和、自定义跨源比对的功能，需要二次开发实现。

4. 自定义校验和生成、校验实现方案 #

4.1 基于arborist的代码实现方案 #

直接调用npm底层的arborist库读取依赖树元数据，生成校验和清单：

const Arborist = require('@npmcli/arborist')
const crypto = require('crypto')
const fs = require('fs')
const path = require('path')

// 初始化arborist，读取当前项目实际安装的依赖树
const arb = new Arborist({ path: process.cwd() })
arb.loadActual().then(async (tree) => {
  const checksumMap = {}
  // 遍历所有安装的包
  for (const pkg of tree.querySelectorAll('node_modules/*')) {
    // 1. 取官方registry签发的integrity哈希
    const pkgMeta = {
      version: pkg.version,
      officialIntegrity: pkg.integrity,
      resolvedSource: pkg.resolved
    }
    // 2. 自行计算安装后目录的哈希，防止本地文件被篡改
    const dirHash = crypto.createHash('sha256')
    const traverseDir = async (dir) => {
      const entries = await fs.promises.readdir(dir, { withFileTypes: true })
      for (const entry of entries) {
        const fullPath = path.join(dir, entry.name)
        if (entry.isDirectory()) {
          await traverseDir(fullPath)
        } else if (entry.isFile()) {
          const content = await fs.promises.readFile(fullPath)
          dirHash.update(content)
        }
      }
    }
    await traverseDir(pkg.path)
    pkgMeta.localDirHash = dirHash.digest('hex')
    checksumMap[pkg.name] = pkgMeta
  }
  // 导出校验和清单
  await fs.promises.writeFile('npm-pkg-checksums.json', JSON.stringify(checksumMap, null, 2))
})

4.2 比对逻辑实现 #

• 和registry比对：拉取对应版本包的官方元数据，取dist.integrity字段和校验和清单中的officialIntegrity字段比对即可。
• 跨机器比对：将两台机器生成的npm-pkg-checksums.json做字段级diff，校验officialIntegrity和localDirHash两个字段是否完全匹配即可。

4.3 轻量无代码实现方案 #

无需开发的场景下可以直接基于lock文件比对：

1. 执行npm ls --json > dependency-tree.json导出当前项目完整依赖版本信息
2. 提取package-lock.json中所有依赖的integrity字段，和比对目标的同字段做diff即可。

内容的提问来源于stack exchange，提问作者placid chat