npm shrinkwrap

最新推荐文章于 2024-09-15 07:55:58 发布

山西仓江科技有限公司

最新推荐文章于 2024-09-15 07:55:58 发布

阅读量3.1k

点赞数

分类专栏： js

本文链接：https://blog.csdn.net/qq_37653449/article/details/100526828

版权

js 专栏收录该内容

18 篇文章

订阅专栏

npm shrinkwrap是一个用于生成稳定版本号描述的功能，确保项目构建时依赖包的一致性。它解决了由于semver规则导致的不同构建可能出现不同模块版本的问题，提高了线上构建的稳定性。通过`npm shrinkwrap`命令生成npm-shrinkwrap.json文件，可以避免因模块版本变动带来的意外影响。在遇到错误时，升级npm到v4及以上版本通常能解决问题，或者根据错误类型手动调整package.json和node_modules。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

什么是 npm shrinkwrap？

npm shrinkwrap 是 npm 包管理器的一项功能。可以按照当前项目 node_modules 目录内的安装包情况生成稳定的版本号描述。shrinkwrap 文件的结构类似以下这种形式

{
  "name": "A",
  "version": "1.1.0",
  "dependencies": {
    "B": {
      "version": "1.0.1",
      "from": "B@^1.0.0",
      "resolved": "https://registry.npmjs.org/B/-/B-1.0.1.tgz",
      "dependencies": {
        "C": {
          "version": "1.0.1",
          "from": "org/C#v1.0.1",
          "resolved": "git://github.com/org/C.git#v1.0.1"
        }
      }
    }
  }
}

重要的字段一个是 version（模块的版本），以及 resolved（模块的安装路径）。在工程中有 shrinkwrap 描述文件的情况下会遵循该 version 和 resolved 信息去安装

为什么需要它？

在没有 shrinkwrap 的项目中，任意一个依赖包都可能在开发者不知情的情况下发生改动，进而引发线上故障。

在一个 JavaScript 项目中，每次执行 npm install，最后生成的结果可能是不一样的。譬如说现在某个项目依赖了模块 A, 虽然我们可以为它指定一个固定的版本号，然而 A 所依赖的其它模块版本使用的是 npm semver 规则（semantic version，npm 模块依赖默认遵循的规则）。它并不严格规定版本，而是选择符合当前 semver 规则的最新版本进行安装。

一个简单的例子：假如模块 A 中依赖了 B，并且在 A 的 package.json 中指定 B 的 semver 为 ~1.2.3，那么所有形式为 1.2.x 的版本都是符合规则的。当模块 B 更新了一个 1.2.x 的小版本后，项目在下次构建中就会获取到它。

semver 这样设计的初衷是使模块的开发者可以将 bugfix 等微小的改动能更便捷地到达使用方。但它的负面影响却是使每次 npm install 构建过程之间，项目内的模块内容随时可能发生改变。我们没法确定在每个模块内部，每一次小版本更新时究竟是加入了 bugfix，还是改变了 API，亦或是注入了恶意代码。

为了保证线上构建的稳定性，我们决定强制在每个 JavaScript 项目中添加 shrinkwrap。

对于我的项目，我需要做什么？

如果项目中没有 shrinkwrap，请执行 npm shrinkwrap 命令来生成一个。第一次生成时经常会遇到错误，请看下面的 trouble-shooting 部分。
尽量保持 npm 的版本是 4 或以上，这样当你在安装和更新模块时 npm 会帮你自动更新 npm-shrinkwrap.json。
就是以上这些，项目中有了 npm-shrinkwrap.json 以后，每次执行 npm 模块安装的时候就会首先遵循 npm-shrinkwrap.json 的版本来安装