随着 JavaScript 生态的持续演化，包管理工具 NPM 也在不断迭代。近日，NPM 团队在官方博客中预告了 v12 版本的若干破坏性变更（breaking changes），这些改动将影响所有使用 NPM 的开发者。作为日常开发的核心工具，NPM 的每一次重大版本升级都意味着需要调整工作流和项目配置。本文将梳理 v12 中最关键的几项变更，助你提前做好准备。

一、为什么要有破坏性变更？

NPM v12 的目标是提升安全性、性能与可维护性。传统上，NPM 为了向后兼容积累了大量遗留行为，导致安装速度变慢、依赖解析逻辑复杂，甚至存在安全盲区。v12 通过移除过时功能、加固身份验证机制、精简命令体系，为未来十年的包管理奠定基础。尽管这些变更会暂时“破坏”部分现有工作流，但官方表示将提供清晰的迁移指南和过渡工具。

二、关键变更详解

1. 强制使用 OAuth 2.0 身份验证

v12 将废弃当前基于 token 的 npm login 方式，改为强制使用 OAuth 2.0 授权码流程。这意味着：
- 所有 npm publish、npm access 等需要认证的操作，必须通过浏览器登录获取短期令牌（token）。
- 原有的 ~/.npmrc 中存储的 //registry.npmjs.org/:_authToken 将不再被支持，需替换为 npm token create 生成的 OAuth 令牌。
- CI/CD 环境中需配置 NPM_AUTH_TOKEN 环境变量，并通过 npm login --auth-type=oauth 完成交互式认证。
这项变更旨在防止 token 泄露，因为 OAuth 令牌支持作用域限制和过期撤销。

2. lockfile v3 成为默认格式

NPM v12 将默认使用 package-lock.json v3 格式（目前可通过 --lockfile-version 3 启用）。v3 格式的主要变化包括：
- 扁平化依赖树记录，避免嵌套 JSON 过大（大型项目可减少 30% 文件体积）。
- 引入完整性校验字段（integrity）的强哈希算法（SHA-512 替代 SHA-1）。
- 支持 packages 字段记录每个包的精准安装路径。
项目在首次使用 v12 执行 npm install 时，旧版 lockfile 会被自动升级。但若团队中仍有成员使用 npm v9/v10，则需在 CI 中统一版本，否则 lockfile 格式冲突将导致安装失败。

3. 默认启用包签名验证

为了对抗供应链攻击，v12 将自动验证所有从官方仓库下载的包的数字签名。若包未签名或签名校验失败，安装过程将终止并报错。
- 发布者需使用 npm sign 命令为包生成签名，签名基于 GPG 或 Sigstore（推荐）。
- 对于私有仓库（如 Verdaccio），需额外配置签名公钥或关闭此特性（通过 --ignore-scripts 或 audit=false 不安全）。
建议团队尽快为所有内部包启用签名，并更新 CI 脚本以兼容签名验证流程。

4. 废弃 --global-style 与 --legacy-bundling

长期以来，npm install --global-style（扁平化安装）和 --legacy-bundling（嵌套安装）是解决依赖冲突的两种遗留模式。v12 将彻底移除这两个选项，统一使用“逻辑树”模式（即现代 NPM 的默认安装算法）。
影响：那些依赖 node_modules 特定目录结构来引用本地包的工具（如某些非标准模块加载器）将直接失效。建议改用 workspaces（工作区）或 npm pack 方案替代。

5. 最低 Node.js 版本提升至 18.x

NPM v12 将仅支持 Node.js 18.x 及以上版本（包括 LTS 20.x 和 22.x）。这意味着：
- 使用 Node 16 的老旧项目需要先升级 Node 版本。
- 部分依赖原生模块（如 node-gyp）的项目可能因 Node API 版本变化需要重新编译。
官方建议在 2025 年 Q2 前完成 Node 版本迁移，届时 v12 正式版将停止对旧版 Node 的支持。

三、开发者如何应对？

  1. 提前测试：使用 npm install -g npm@12.0.0-beta.0 安装 beta 版，在开发环境中运行 npm doctor 检查兼容性。
  2. 更新 CI 配置：将 npm install 替换为 npm ci --lockfile-version=3，并确保 CI 镜像的 Node 版本 ≥ 18。
  3. 审计脚本：检查 postinstall、prepublish 等钩子脚本，避免使用失效命令（如 npm dedupe 在 v12 中行为已变）。
  4. 迁移认证方式：若使用自动化发布，需在 CI 中配置 OAuth token 并通过 npm token create --read-only 生成仅用于安装的令牌。

四、总结

NPM v12 的破坏性变更并非突发奇想，而是生态安全的必然要求。虽然迁移过程需要投入精力，但长期来看，更快的安装速度、更强的安全模型和更清晰的依赖结构将极大改善开发体验。建议团队从现在开始关注 beta 版本动态，并在沙盒项目中先行验证，确保在 v12 正式发布（预计 2025 年下半年）时能够平滑过渡。包管理工具的下一个十年，从 v12 开始。