npm i无参数更新package-lock.json的场景及异常差异解析

通常我们认为，项目存在package-lock.json时，执行npm i会严格遵循锁定的依赖版本，只有修改package.json中的依赖版本后，lock文件才会变更。但实际检出旧提交执行npm i时，lock文件却出现了无版本变化的修改，比如：

// 给已有包新增peer标记
"node_modules/@apollo/client": {
  "version": "3.13.9",
  "license": "MIT",
+ "peer": true,
}

// 新增可选依赖的完整条目
+ "node_modules/@emnapi/core": {
+   "version": "1.7.0",
+   "resolved": "https://registry.npmjs.org/@emnapi/core/-/core-1.7.0.tgz",
+   "integrity": "sha512-pJdKGq/1iquWYtv1RRSljZklxHCOCAJFJrImO5ZLKPJVJlVUcs8yFwNQlqS0Lo8xT1VAXXTCZocF9n26FWEKsw==",
+   "dev": true,
+   "license": "MIT",
+   "optional": true,
+   "dependencies": {
+     "@emnapi/wasi-threads": "1.1.0",
+     "tslib": "^2.4.0"
+   }
+ },

// 平台可选依赖的存储结构调整
"node_modules/@parcel/watcher": {
+  "node_modules/@parcel/watcher-android-arm64": {
    "version": "2.4.1",
+    "resolved": "https://registry.npmjs.org/@parcel/watcher-android-arm64/-/watcher-android-arm64-2.4.1.tgz",
+    "integrity": "sha512-LOi/WTbbh3aTn2RYddrO8pnapixAziFl6SMxHM69r3tvdSm94JtCenaKgk1GRg5FJ5wpMCpHeW+7yqPlvZv7kg==",
+    "cpu": [
+      "arm64"
+    ],
    "dev": true,
    "license": "MIT",
    "optional": true,
-    "dependencies": {
-      "detect-libc": "^1.0.3",
-      "is-glob": "^4.0.3",
-      "micromatch": "^4.0.5",
-      "node-addon-api": "^7.0.0"
-    },
+    "os": [
+      "android"
+    ],
    "engines": {
      "node": ">= 10.0.0"
    },
    "funding": {
      "type": "opencollective",
      "url": "https://opencollective.com/parcel"
-    },
-    "optionalDependencies": {
-      "@parcel/watcher-android-arm64": "2.4.1",
-      "@parcel/watcher-darwin-arm64": "2.4.1",
-      ...
    }
  },

一、lock文件无版本变更却修改的核心原因 #

• npm版本迭代导致的格式规范更新：npm 10到11对lock文件的结构、字段存储逻辑做了针对性优化，不同版本的npm执行npm i时，会按照当前版本的规范重新格式化已有lock内容，这类修改不影响依赖版本，只是格式调整：
  • 对peer依赖的标记方式调整（新增或移除"peer": true字段）
  • 平台特定可选依赖的存储结构优化：旧版本将这类依赖放在父包的optionalDependencies中，新版本会将其展开为独立的node_modules条目，同时清理父包中冗余的依赖声明
  • 字段顺序、元信息的标准化整理
• 可选依赖的环境触发补全：部分标记为optional: true的依赖（比如@emnapi/core），会因为当前环境的检测逻辑变化，被npm在lock文件中补全完整信息，即使它们并未实际安装
• peer依赖解析逻辑的增强：npm 11更新了peer依赖的解析逻辑，会在lock文件中明确标记哪些包是作为peer依赖被引入的，旧版本npm无此标记，因此用npm 11执行npm i时会自动修正这类字段

二、package-lock.json中"peer": true的含义 #

这是npm 11新增的内部标记，用于明确标识该包是作为peer依赖被解析和安装的——即它的存在是为了满足其他包的peerDependencies声明，而非项目的直接依赖或子依赖。

该字段属于npm对lock文件的增强逻辑，目前官方文档尚未同步更新，仅用于npm内部的依赖解析，不会影响实际的依赖安装行为，也不会改变依赖版本。

三、npm 10与11的行为差异影响 #

npm 11对lock文件的生成逻辑做了多项优化：

• 新增"peer": true字段标记peer依赖
• 重构平台特定可选依赖的存储结构，减少冗余
• 标准化lock文件的字段顺序与元信息

这就导致用npm 11执行npm i时，即使package.json和依赖版本完全不变，也会按照新规范重新生成lock文件，从而产生无版本变更的diff。

内容的提问来源于stack exchange，提问作者dwjohnston