npm ci 替代 npm install 的核心是：确保 package-lock.json 存在并提交、禁用缓存、CI 脚本中严格使用该命令；它只认锁文件中的精确版本，不读 package.json 的版本范围，安装前自动清空 node_modules，失败即警报，保障构建可重现性。
直接用 npm ci 替代 npm install，核心就三点：确保锁文件存在且提交、禁用本地缓存干扰、在 CI 脚本里明确替换命令。它不是“换一个命令就行”，而是配合工程规范的一整套稳定性保障动作。
必须提交 package-lock.json 并保持更新
npm ci 的前提是依赖树完全由 package-lock.json 决定，它不会读 package.json 的版本范围（比如 ^1.2.0），只认锁文件里写死的完整版本和哈希值。所以：
- 项目根目录下必须有有效的
package-lock.json，且已提交到 Git； - 每次新增或升级依赖，都应由一人运行
npm install（或npm update）生成新锁文件，再提交； - 禁止手动编辑
package-lock.json，也不要在 CI 流程中让它被意外覆盖或忽略。
CI 脚本中严格使用 npm ci，不带任何参数
在 GitHub Actions、GitLab CI 或 Jenkins 的构建脚本里，把原来类似 npm install 的步骤替换成：
npm ci
注意：
Wjs Uploading Video
下载
将一个或多个视频上传至YouTube。当用户想“上传到YouTube”“发YouTube”“批量上传”“upload to YouTube”“post videos to YouTube”或发布到YouTube时使用此技能。
- 不要加
--no-cache或--only=production等参数——npm ci默认就跳过缓存、不执行生命周期脚本、不安装devDependencies以外的包（除非你显式配置了npm config set production false）； - 如果项目需要开发依赖（如构建工具、测试框架），确保它们在
devDependencies中声明，并且package-lock.json已包含它们； -
npm ci会在安装前自动清空node_modules，所以无需额外加rm -rf node_modules。
配置 .npmrc 保证私有源和权限一致
CI 环境通常要拉取公司内部的私有包，这时仅靠命令不够，还得让 npm 知道去哪找、有没有权限：
- 在项目根目录放一个
.npmrc文件，内容如：registry=https://your-company-npm-registry.com///your-company-npm-registry.com/:_authToken=${NPM_TOKEN} - 把
NPM_TOKEN设为 CI 系统的密文变量（如 GitHub Secrets），避免硬编码； - 确保该
.npmrc文件也提交进 Git（不含敏感值），这样所有环境行为一致。
验证是否生效：失败即警报，成功即确定
npm ci 的设计哲学是“宁可失败，也不妥协”。一旦遇到以下情况，它会立即退出并报错：
-
package-lock.json和package.json不匹配（比如删了package.json里的某个依赖但没更新锁文件）； - 锁文件里某个包在 registry 中不可用（如私有包未授权、网络不通、包已被撤回）；
- 当前 Node 版本不满足锁文件中某依赖的
engines要求。
这种“强硬”反而成了稳定性锚点——构建失败说明环境问题暴露在上线前，而不是等到生产环境才出岔子。
