7.1 Npm 与 Yarn 核心差异横评

7.1 Npm 与 Yarn 核心差异横评

本节摘要：把全书勘验过的机制摆上同一张桌子：安装语义、目录布局、锁文件、脚本管控、工作区五个维度逐一对照，引入 pnpm 作为第三参照系。核心结论先行：三个工具的机制层已高度趋同，真正的分野在于布局哲学与管控默认值——而这两项恰好对应你最关心的两类问题：磁盘与速度归布局，安全归管控。读完你应能拿着自己项目的特征，在对照表里找到明确的选择依据。

横评的正确姿势

先立规矩：横评不是罗列功能清单，而是对照设计取舍——每个工具在每个维度上选择了什么、放弃了什么、为什么。脱离场景的"谁快谁慢"没有意义：同样的工具，冷缓存与热缓存能差一个量级（4.4 节实验已经证明）。所以下面的每个维度，都以"机制取舍"为单位，末尾再给出场景化的选择建议。

五维对照

维度一：安装语义。 三家都支持严格模式（3.4 节的 ci 语义），差异在默认值与细节：Npm 的 install 允许回写锁文件，ci 严格不写；Yarn 的冻结参数与 pnpm 的冻结安装语义相近。日常开发体验三家几乎无感，流水线语义三家等价。这一维度的结论：趋同，不构成选型依据。

维度二：目录布局。 这里是真正的分水岭。Npm 与 Yarn 一代采用提升式扁平布局（2.3 节），幽灵依赖是已知代价；pnpm 采用符号链接加全局内容寻址存储：所有包的全局只存一份，项目的 node_modules 里是按依赖关系精确声明的符号链接——未声明的包物理上不可引入。同一台机器上十个项目共享一个全局存储，磁盘占用骤降。这一维度的结论：布局严格性与磁盘效率上 pnpm 有结构性优势，代价是符号链接在少数工具与环境里有兼容摩擦。

维度三：锁文件。 格式不同（3.1 节讲过键形态差异）、语义趋同：都记录精确版本、来源与完整性哈希，都能冻结安装结果。Yarn 二代的锁文件还记录了布局信息以支撑免安装模式。结论：能力等价，格式不互通，迁移必须换锁——这是 7.2 节的主戏。

维度四：脚本管控。 管控水位三家形成梯度：Npm 全放行可选禁止，Yarn 可配置，pnpm 默认白名单制（未列名的包默认不执行安装脚本）。按 6.1 节的防线框架，pnpm 的默认值站在更高的安全水位上。结论：安全默认值上 pnpm 领先，Npm 与 Yarn 需要靠制度补齐。

维度五：工作区。 三家都内置工作区支持（第五章），Yarn 的工作区成熟度与配套生态（版本管理工具链）长期领先，Npm 在七代后追平核心能力，pnpm 的工作区配合其布局严格性在大型 Monorepo 中体验出色。结论：能力齐备，生态配套深度有差。

图 7-1 五维对照矩阵与场景建议

机制趋同后，选型看什么

把横评收拢成三句话。第一句：趋同的维度别当依据。 安装语义与锁文件能力三家等价，拿"谁支持 ci"做选型是伪问题。第二句：分水岭对准痛点。 布局哲学对应磁盘、速度与幽灵依赖，管控默认值对应安全水位——把项目的痛点按这两类归位，答案自然浮现。第三句：制度的性价比要算。 6.2 节的缓存配置、6.1 节的脚本白名单，在任何工具上都能落地；换工具是一次性大手术，制度是持续性小投入。除非结构性优势（如多项目共享全局存储）对你的场景是刚需，否则制度化优先于换工具。

两组容易被误读的差异

横评的结论之外，有两类差异常被误读，值得单独校准。容易被高估的差异：裸装速度。 社区争论里最热闹的速度对比，在 4.4 节的实验视角下会大幅缩水——热缓存之后三家的差距远小于冷缓存，而真实开发里冷缓存只在首次安装与流水线清空时出现。拿一次冷装截图做选型依据，是对着噪声做决定。容易被低估的差异一：配置的传播形态。 各家配置文件格式不同，有的天然支持随仓库提交、对团队传播友好，有的散落在机器与文档之间。配置能否"随仓库走"，长期看比一两次安装快慢重要得多。容易被低估的差异二：工具自身版本的固定能力。 "你用的是哪一版工具"能否被仓库声明锁定，直接决定 3.4 节可复现闭环的最后一块拼图——支持核心包管理器协议的工具在这一点上有先发优势。

校准完这两组差异，回到本节的三句选型观，答案会更稳：趋同的不看，分水岭对准痛点，制度优先于更换。

一张决策卡：五种团队画像

把选型建议收敛成可对号入座的画像卡。画像一：低频维护的存量项目。 换工具零收益、纯风险——维持现状，把锁纪律与审计关卡补上即可。画像二：高速迭代的大型仓库。 依赖规模大、多项目共享机器——隔离布局的结构性收益最大，pnpm 是最短路径。画像三：平台工程成熟的组织。 私源、模板、流水线齐备——工具已不是主要变量，把脚本白名单与冻结安装写进平台模板，用哪个工具都是安全水位。画像四：全新小团队。 认知成本就是成本——用默认工具，省下的折腾精力花在产品上。画像五：安全敏感业务。 支付、医疗、企业数据——默认值即下限，选管控最严的默认配置，再叠加私有源与审计闸门。

画像卡与三句选型观是同一台机器的两面：先对画像粗筛，再用三句细判。选型不必一次到位——制度化的存量永远优于裸奔的新工具，这条原则值得贴在每次技术选型会议的墙上。

第四参照系：运行时内置包管理

对照表之外，还有一位候补评委值得认识：新兴运行时内置的包管理体系。它们多数兼容既有的清单与锁文件生态，却把安装速度、缓存组织甚至安全模型重新实现了一遍。把它放进对照的意义不在"要不要现在换"——大概率不要——而在三点校准。其一：验证趋同论。 内置实现大多选择了与主流一致的核心语义（锁、哈希、冻结安装），这反向印证了主流方案的核心设计已成共识。其二：观察创新方向。 内置实现把安装当运行时性能问题来优化，缓存与解析的手法常有新意——它们是 7.3 节趋势的先行实验场。其三：储备迁移知识。 一旦未来运行时整合加速，今天对四套体系差异的理解，就是那时的迁移地图。

对照任何新工具，都沿用本节的方法：先看它在分水岭维度上站在哪，再看它对存量生态的兼容策略，最后算制度迁移的账——方法论比结论活得久。

本节要点回顾

• 五维横评：安装语义与锁文件趋同，布局与脚本管控是两处分水岭，工作区能力齐备配套有差；
• pnpm 的结构性优势：符号链接加全局存储带来磁盘骤降与幽灵依赖根治，符号链接兼容性是主要摩擦；
• Yarn 的哲学：从锁文件到免安装一路形态实验，配套生态（工作区工具链）成熟；
• Npm 的哲学：默认可用、包容存量，短板靠制度补；
• 选型三句：趋同维度不作依据、分水岭对准痛点、制度性价比优先于换工具。

答案有了，下一节解决执行：决定迁移之后，怎么把风险控在每一步里——换锁、清目录、验证、回滚，一步不缺。