npm shrinkwrap
什么是 npm shrinkwrap?
npm shrinkwrap 是 npm 包管理器的一项功能。可以按照当前项目 node_modules 目录内的安装包情况生成稳定的版本号描述。shrinkwrap 文件的结构类似以下这种形式:
{
"name": "A",
"version": "1.1.0",
"dependencies": {
"B": {
"version": "1.0.1",
"from": "B@^1.0.0",
"resolved": "https://registry.npmjs.org/B/-/B-1.0.1.tgz",
"dependencies": {
"C": {
"version": "1.0.1",
"from": "org/C#v1.0.1",
"resolved": "git://github.com/org/C.git#v1.0.1"
}
}
}
}
}
为什么需要它?
在没有 shrinkwrap 的项目中,任意一个依赖包都可能在开发者不知情的情况下发生改动,进而引发线上故障。
在一个 JavaScript 项目中,每次执行 npm install
,最后生成的结果可能是不一样的。譬如说现在某个项目依赖了模块 A, 虽然我们可以为它指定一个固定的版本号,然而 A 所依赖的其它模块版本使用的是 npm semver 规则(semantic version,npm 模块依赖默认遵循的规则)。它并不严格规定版本,而是选择符合当前 semver 规则的最新版本进行安装。
一个简单的例子:假如模块 A 中依赖了 B,并且在 A 的 package.json 中指定 B 的 semver 为 ~1.2.3,那么所有形式为 1.2.x 的版本都是符合规则的。当模块 B 更新了一个 1.2.x 的小版本后,项目在下次构建中就会获取到它。
semver 这样设计的初衷是使模块的开发者可以将 bugfix 等微小的改动能更便捷地到达使用方。但它的负面影响却是使每次 npm install 构建过程之间,项目内的模块内容随时可能发生改变。我们没法确定在每个模块内部,每一次小版本更新时究竟是加入了 bugfix,还是改变了 API,亦或是注入了恶意代码。
为了保证线上构建的稳定性,我们决定强制在每个 Ykit 的项目中添加 shrinkwrap。
业务需要做什么?
Ykit 会在一个项目 commit 之前检查并更新 npm-shrinkwrap.json
(如果没有则会生成一个),业务需要做的只是将这个文件提交,保持它是最新的即可。当然也可以执行npm shrinkwrap
来进行手动更新。
错误处理
生成 npm-shrinkwrap.json
过程的中报错,大多是因为 package.json 和 node_modules 中模块版本不一致(其实是不应该出现的),按照提示的错误改正即可。
如果还有问题请 qtalk 联系 yuhao.ju
。