为何执行npm install后npm-shrinkwrap.json文件会发生变更？

这可不是什么Bug，其实是npm的正常特性导致的，下面给你拆解原因和解决办法：

为什么会出现这些变更？ #

1. Integrity哈希值在sha-1和sha-512间切换 #

npm在不同版本或者配置下，会优先使用不同的哈希算法来校验包的完整性。比如较新的npm版本默认会用更安全的sha512，但有些旧包可能只在npm registry上提供了sha1的哈希值，或者当npm在某些场景下无法获取到sha512哈希时，会自动回退到sha1。当你执行npm install时，npm会根据当前环境的配置和registry返回的信息，更新shrinkwrap里的哈希值——只要这些哈希对应的是同一个包版本，就完全不影响依赖的完整性和功能。

2. JSON文件的换行/格式变更 #

npm在生成或更新npm-shrinkwrap.json时，会对JSON内容做标准化格式化处理。不同版本的npm可能在缩进、换行符（比如LF和CRLF）的处理上有细微差异，或者在install过程中重新写入文件时自动调整了格式。这种变更只是JSON的排版问题，内容本身完全没有变化，JSON解析器也不会因为这些格式差异出错。

怎么避免这些不必要的Git提交？ #

• 用npm ci代替npm install：这是最有效的办法。npm ci是专门为持续集成和严格按照锁文件安装设计的命令，它会完全遵循npm-shrinkwrap.json里的配置安装依赖，不会修改锁文件本身，自然就不会产生这些细微变更了。
• 统一团队的npm版本：不同版本的npm对锁文件的处理逻辑可能略有不同，用nvm（Node Version Manager）统一团队的Node.js和npm版本，可以减少这类跨版本导致的格式差异。

为什么这些变更不影响功能？ #

不管是哈希算法切换还是格式调整，本质上都没有改变依赖的版本信息：

• 哈希值的切换只是同一个包版本的不同校验方式，npm会自动验证哈希的正确性，确保安装的包是你锁定的版本。
• JSON格式的变更不影响内容的解析，npm读取锁文件时只会关注里面的依赖数据，不会在意排版。

内容的提问来源于stack exchange，提问作者Chuck D