npm ci命令具体作用是什么？为何CI流水线中常用它替代npm install？

核心区别 #

• 依赖安装的依据不同
  • npm install 优先读取package.json里的依赖版本声明，允许按照语义化版本范围升级依赖，安装完成后会更新package-lock.json锁文件，本地没有锁文件时会自动生成。相当于你允许它安装符合版本范围的最新可用依赖，存在不同环境安装的依赖版本不一致的“版本漂移”风险。
  • npm ci 全称是 clean install，它必须要求项目根目录下已经存在锁文件，安装时完全严格按照锁文件中记录的每个依赖的精确版本、下载地址、校验和来安装，不会参考package.json的版本范围，也绝对不会修改锁文件，保证所有环境安装的依赖100%一致。
• 安装行为和速度不同
  • npm install 需要做依赖树版本协商、更新检查，逻辑相对复杂，速度更慢；如果本地已经存在node_modules文件夹，会直接复用已有依赖做增量更新，可能存在旧依赖残留的问题。
  • npm ci 执行时会先清空本地的node_modules文件夹再从头安装，不需要走版本协商步骤，安装速度比npm install快30%~50%，不会有旧依赖残留。
• 报错逻辑不同
  • npm install 如果遇到package.json和锁文件的版本范围冲突，会自动升级锁文件做兼容，基本不会报错，只会静默修改锁文件。
  • npm ci 如果发现package.json的依赖声明和锁文件版本不匹配（比如你修改了package.json的版本但忘了更新锁文件），会直接抛出错误终止执行，不会强行安装，从根源上避免依赖版本不一致的问题。

适用场景 #

• 什么时候用npm ci
  • CI/CD环境：不管是构建、测试还是部署环节，要求每次运行的环境100%一致，避免出现“本地能跑线上构建失败”或者不同批次构建产物不一致的问题，这也是你在各类CI配置文件里经常看到这个命令的原因。
  • 多人协作项目首次拉取代码安装依赖：保证你本地安装的依赖和其他同事、线上环境使用的版本完全一致，避免“我本地没问题”的玄学bug。
  • 自动化测试、定时任务等对环境稳定性要求高的场景。
• 什么时候用npm install
  • 本地开发需要新增、升级、删除依赖的时候，只有npm install会更新锁文件，你修改完依赖后执行npm install生成新的锁文件提交到仓库，其他人和CI环境就能用npm ci安装到和你本地完全一致的版本。

注意：不要在CI环境混用npm install和npm ci，如果在CI里先执行了npm install修改了锁文件，再执行npm ci会直接报错，或者构建产物的版本不符合预期。

内容的提问来源于stack exchange，提问作者Mayank_MP5