| npm ci | 只读锁文件安装；锁文件与 package.json 不一致时报错 |
|---|---|
| npm install | 可能更新锁文件并做依赖解析 |
| 规则 | 锁文件必须提交进仓库，CI 用 ci 不用 install |
CI 建议流程
CI 建议流程
npm ci
npm test依赖升级应该产生锁文件 diff 并随 MR 评审：变更可见、可回滚。
npm ci 与锁文件
npm ci 严格按 package-lock.json 安装（会先删除 node_modules）：CI 中用于保证依赖可复现，快于 npm install。
易错点
- CI 用 npm install：锁文件被悄悄改写，构建结果随仓库外状态漂移
- 锁文件与 package.json 不同步提交：npm ci 直接报错，及时规整
数据来源与参考
- npm Docs《npm ci》