我们有一个私有的 JFrog 工件（名称在下面匿名），它在项目根目录 .npmrc 文件中配置了 npm：
registry=https://artifactory.jfrog.private.com:443/api/npm/npm-registry-virtual/
开发人员之间通过 Git 共享的 package-lock.json 文件中的已解析字段在“npm install”运行之间不断变化，而对 package.json 没有任何更改。
有时，一个 dl 查询参数（指向完全相同的 URL）被添加到解析的 URL 中：
- "resolved": "https://artifactory.jfrog.private.com:443/api/npm/npm-registry-virtual/@sailshq/lodash/-/lodash-3.10.3.tgz",
+ "resolved": "https://artifactory.jfrog.private.com:443/api/npm/npm-registry-virtual/@sailshq/lodash/-/lodash-3.10.3.tgz?dl=https://artifactory.jfrog.private.com/@sailshq/lodash/-/lodash-3.10.3.tgz",
有时查询参数指向 npmjs.org 注册表：
- "resolved": "https://artifactory.jfrog.private.com:443/api/npm/npm-registry-virtual/aproba/-/aproba-1.2.0.tgz",
- "resolved": "https://artifactory.jfrog.private.com:443/api/npm/npm-registry-virtual/aproba/-/aproba-1.2.0.tgz?dl=https://registry.npmjs.org/aproba/-/aproba-1.2.0.tgz",
有时该字段直接指向 npmjs.org 存储库：
- "resolved": "https://artifactory.jfrog.private.com:443/api/npm/npm-registry-virtual/acorn/-/acorn-3.3.0.tgz",
+ "resolved": "https://registry.npmjs.org/acorn/-/acorn-3.3.0.tgz",
这些变化中的任何一个也可能朝着相反的方向发展。
这真的很烦人，因为这意味着我们不断在 package-lock.json 中进行无意义的更改，这会导致合并冲突并经常阻止 npm ci 正确执行。npm cache clean --force 似乎没有帮助。我知道 npm install 可以自动解决 package-lock.json 合并冲突，但这对 npm ci 没有帮助（因为重点是不在CI 环境中运行 npm install ）。而且，无论如何，查看虚拟 npm 注册表如何在内部解析包有什么好处（我怀疑这里正在发生）？
是否有某种配置选项可以防止 JFrog Artifactory 对虚拟 npm 注册表中已解析的包 URL 进行此类更改？或者它可能是 …