package-lock.json中resolved地址漂移源于registry配置不一致，而非版本冲突；需通过项目级.npmrc锁定源地址、清理缓存与残留文件、执行npm install重建锁文件，并用preinstall脚本校验registry一致性。
package-lock.json里resolved地址乱跳，根本不是版本问题
你遇到的报错，比如 npm install 后一堆 diff、CI 构建失败、本地装完依赖却跑不起来——大概率不是 package.json 里写了不同版本，而是 package-lock.json 中每个包的 "resolved" 字段在淘宝镜像（https://registry.npm.taobao.org）和公司私仓（如 https://npm.guahao-inc.com）之间来回漂移。只要开发者本地 npm config set registry 不一致，npm install 就会重写所有 resolved，Git 提交时必然冲突。
必须用项目级 .npmrc 锁死 registry
全局或用户级 npm config 无法约束团队行为，唯一可靠方式是把源写死在项目根目录的 .npmrc 文件里：
- 在项目根目录新建文件
.npmrc，内容只写一行：registry=https://npm.guahao-inc.com（替换成你们实际私仓地址） - 加
strict-ssl=false仅当私仓用的是自签名证书；否则删掉这行 - Windows 上若提示“无法加载文件”，说明 PowerShell 执行策略阻止了脚本——需先以管理员身份运行 PowerShell，执行
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser -
.npmrc必须在npm install前存在，否则不生效
清理 + 重建 lock 文件的三步闭环
光改 .npmrc 不够，旧缓存和残留 lock 会继续干扰：
- 第一步：清缓存 + 删残留 → 运行
npm cache clean --force→ 删除node_modules→ 删除package-lock.json - 第二步：确认全局配置没劫持 → 执行
npm config get registry，输出必须和.npmrc一致；如果不符，运行npm config delete registry清掉用户级设置 - 第三步：干净安装 → 只执行
npm install，此时所有resolved都会严格指向私仓地址，不再随本地镜像变动
防复发：preinstall 脚本比 Git 钩子更靠谱
Git 钩子容易被绕过（比如直接 git commit --no-verify），而 package.json 里的 preinstall 是 npm 自动触发、不可跳过的校验点：
- 在
scripts中加入："preinstall": "node -e \"if (!require('fs').readFileSync('./.npmrc', 'utf8').includes('registry=https://npm.guahao-inc.com')) throw new Error('registry mismatch!')\"" - 只要有人漏掉
.npmrc或改错地址，npm install会立刻中断并报错，而不是默默生成错误 lock 文件 - 注意：这个脚本依赖
.npmrc存在且格式为纯文本单行；如果你们用多行配置（比如带注释），得改用更健壮的解析逻辑
真正麻烦的不是解决一次冲突，而是让 resolved 地址彻底失去“浮动资格”——它必须由项目自身声明，而不是靠人去记、靠 CI 去猜。
