npm script生命周期钩子

考察点分析 link

本题主要考察以下能力维度：

1. npm生态理解：对Node.js包管理工具核心机制的理解深度
2. 工程化实践：对前端工程化中构建/发布流程的掌控能力
3. 脚本控制能力：对自动化工具链中关键节点的精准控制意识

具体评估点：

• 生命周期钩子的完整认知体系
• 发布/安装流程中脚本执行顺序的掌握
• 新版npm（v7+）与传统版本的区别理解
• 安全风险防范意识（如postinstall潜在危险）
• 预处理/后处理脚本的典型应用场景

技术解析 link

关键知识点 link

生命周期阶段 > 版本差异 > 安全规范 > 典型应用

核心机制 link

npm脚本通过约定前缀实现自动触发：

1. pre 前缀：主脚本执行前触发（如 prebuild）
2. post 前缀：主脚本执行后触发（如 postbuild）

特殊生命周期钩子触发逻辑：

典型误区 link

1. 认为prepublish只与发布相关（实际旧版npm在安装时可能触发）
2. 混淆prepare与prepublishOnly的使用场景
3. 在postinstall中执行高危操作（如网络请求）
4. 未考虑脚本执行失败对主流程的影响

问题解答 link

npm脚本生命周期分为默认阶段和扩展阶段，核心钩子触发逻辑如下：

发布流程（npm publish）：

1. prepublish → prepare → prepublishOnly → prepack → postpack → postpublish

安装流程（npm install）：

1. preinstall → install → postinstall

特殊场景：

• Git依赖安装时触发prepare
• 包卸载时触发preuninstall/postuninstall

  // package.json 示例
{
  "scripts": {
    "prepublishOnly": "npm test", // 发布前必跑测试
    "prepare": "webpack --mode production", // 构建主入口
    "postinstall": "node notify-some-service.js" // 安装后通知服务
  }
}
  

解决方案 link

安全实践示例 link

  {
  "scripts": {
    "preinstall": "node ./scripts/check-compatibility.js", // 环境检查
    "postinstall": "npm run build --if-present", // 条件编译
    "prepack": "npm run lint && npm run test", // 打包前质量门禁
    "prepublishOnly": "duplicate-package-checker" // 依赖校验
  }
}
  

优化建议：

1. 使用--if-present避免脚本不存在时报错
2. 限制postinstall执行权限："postinstall": "node --unhandled-rejections=strict ./setup.js"
3. 通过npm config set ignore-scripts true防御恶意脚本

深度追问 link

1. 如何防止postinstall被恶意利用？ → 使用npm审计+白名单机制

2. npm7的package-lock.json有何变化？ → 确定性依赖树结构优化

3. CI环境中如何加速生命周期执行？ → 缓存策略+条件跳过