npm install 和 npm ci 有什么区别？CI 中该用哪个？

Question

仓乃文 · Accepted Answer

npm install 和 npm ci 都能安装依赖，但行为差异很大。CI 中用错会导致构建不可重复、依赖版本漂移。

核心区别：
```
| 维度          | npm install        | npm ci              |
|--------------|-------------------|---------------------|
| 依赖来源      | package.json      | package-lock.json   |
| 有 lockfile   | 参考 lockfile      | 严格按照 lockfile    |
| 无 lockfile   | 生成 lockfile      | 直接报错！           |
| node_modules | 增量更新           | 先删除再安装          |
| 安装速度      | 较慢              | 更快                 |
| 确定性        | 不保证            | 严格保证              |
| 适用场景      | 本地开发           | CI/CD               |
```

为什么 CI 必须用 npm ci：
```bash
# npm install 的问题：
# 1. 可能更新依赖版本（即使有 lockfile）
# 2. 增量安装，可能残留旧版本
# 3. 不同时间安装结果可能不同

# npm ci 的优势：
# 1. 严格按照 lockfile 安装，版本完全一致
# 2. 先删除 node_modules，干净安装
# 3. 没有 lockfile 直接报错，防止遗漏
# 4. 安装速度更快（不需要解析依赖）
```

补充说明：
- 规则：本地开发用 npm install，CI/CD 用 npm ci
- npm ci 要求必须有 lockfile
- npm ci 会先删除 node_modules，保证干净环境
- pnpm install --frozen-lockfile 等价于 npm ci
- lockfile 必须提交到 Git 仓库