检查NPM package.json和package-lock.json是否兼容

Question

有没有办法检查一个package-lock.json文件是否与package.json兼容，而不运行npm安装？兼容意味着指定的版本package.json可以通过package-lock.json来实现。

当前方法

我目前正在通过运行npm install并检查package lock.json是否更改为：

git clone https://github.com/my/codebase
cd codebase
npm install
if [[ git diff-index --quiet HEAD -- package-lock.json ]]; then
  echo 'ERROR: npm install changed package-lock.json'
fi

用例

我想在持续集成中添加一个测试，以确保如果开发人员修改了package.json，他们也会相应地更新package lock.json。这一点很重要的原因是我们的持续集成使用了npm ci，而不是npm installnpmci仅引用package lock.json，因此如果开发人员不更新锁文件，持续集成设置将与他们期望的不匹配。

Answer 1

我花了几个月的时间才发现，npmci不是你的朋友，因为它将无法将更新的引擎从package.json同步到package lock.json。因此，我认为答案是npm安装——生产`

所有的荣誉都应该归他所有https://stackoverflow.com/a/19824154/99834 这就详细地解释了。为了方便起见，我将提到最重要的几点：

• npm安装将安装/更新devDependence，除非添加了-生产标志
• npm更新将忽略devDependence除非--dev标志被添加

Answer 2

正如评论中提到的，有一个npm ci命令，如果package.json与package-lock.json不同步，该命令将抛出一个错误。

以下是我用来“测试”他们是否平等的方法：

ERRORS=0
npm ci
if [[ "$?" -ne 0 ]]; then
    echo "Dependency installation failed!"
    ERRORS=$(($ERRORS+1))
fi

我正在寻找一种更好的方法来实现这一点，因为这实际上会删除整个node\u modules目录，确认奇偶校验，然后继续安装锁定的版本（如果一切正常），但这需要一些时间，具体取决于软件包的数量。