克隆项目后执行npm install生成不同package-lock.json的问题排查

首先可以明确说：在 npm 5.x 早期版本中，这种锁文件依赖顺序变化的情况确实会发生，并不是你忽略了什么基础概念，而是该版本的 npm 在生成锁文件时存在稳定性缺陷。

问题根源 #

你使用的是 npm 5.6.0，这个版本属于 npm 5.x 的早期迭代版本，当时的 package-lock.json 生成逻辑没有严格保证依赖项的顺序稳定性：

• OSX 的 HFS+ 文件系统默认的目录遍历顺序不是固定的（基于文件哈希值），npm 在安装依赖时如果遍历 node_modules 目录的顺序变化，就会导致锁文件中依赖的顺序跟着改变。
• 早期 npm 5.x 没有对锁文件中的依赖项进行强制字母排序，完全依赖安装过程中的遍历顺序，这就造成了同一环境下不同克隆目录生成的锁文件可能出现顺序差异。

解决方案 #

针对你的场景，有几个可行的解决方向：

1. 升级 npm 版本
   npm 从 5.7.1 版本开始修复了这个问题，后续版本（包括 6.x 系列，完全兼容你的 node v6.9.5）会强制对 package-lock.json 中的依赖项按字母顺序排序，彻底消除文件系统遍历顺序带来的影响。执行以下命令升级：

npm install -g npm@5.10.0  # 5.x 最新稳定版，或直接升级到 6.x：npm install -g npm@6.14.16

升级后重新执行 npm install，生成的锁文件顺序就会完全一致。

2. 标准化 package-lock.json 格式
   如果暂时无法升级 npm，可以在计算校验和之前，对锁文件进行标准化格式化，强制统一依赖顺序。比如用 jq 工具（需要先通过 brew install jq 安装）执行：

jq . package-lock.json > package-lock.tmp && mv package-lock.tmp package-lock.json

jq 在处理 JSON 时会自动按键的字母顺序重新排列，这样不管原始锁文件的顺序如何，处理后的内容结构完全一致，校验和自然相同。你可以把这个命令集成到你的 git 预提交钩子流程中，在计算校验和之前执行。

3. 使用锁文件排序工具
   也可以借助专门的工具来排序 package-lock.json，比如 lockfile-lint 附带的排序功能，或者自定义一个简单的 Node.js 脚本读取锁文件，对依赖对象按键排序后重新写入。

补充说明 #

其实 package-lock.json 的依赖顺序本身不影响依赖的安装结果——npm 会根据锁文件中的版本信息安装完全一致的依赖包，只是顺序变化导致文件哈希值不同，影响了你的校验逻辑。npm 团队在后续版本中修复这个问题，也是为了提升锁文件的可预测性，避免这类不必要的差异。

内容的提问来源于stack exchange，提问作者hreimer