前言

在 npm 中，直接通过 package-lock.json 无法单独设置包的安装地址，因为该文件是自动生成的依赖关系锁定文件。但你可以通过以下方法间接实现：

一、在 package.json 中指定包来源（推荐）

在 package.json 的 dependencies 或 devDependencies 中直接声明包的安装来源：

json
{"dependencies": {"your-package": "git+https://github.com/username/repo.git#branch-name","another-package": "file:../local/path","private-package": "https://your-registry.com/private-package.tgz"}
}

运行 npm install 后，package-lock.json 会自动记录这些地址。

二、使用 .npmrc 设置作用域包（Scoped Packages）

为特定作用域设置私有仓库地址（如公司内部包）：
创建项目级或用户级 .npmrc 文件：

@your-scope:registry=https://your-private-registry.com/

安装时指定作用域：

npm install @your-scope/package-name

三、临时指定安装源

安装时通过 --registry 参数临时覆盖源：

npm install your-package --registry=https://custom-registry.com/

四、使用 postinstall 脚本移动文件（慎用）

在 package.json 中添加脚本，安装后手动移动包：

{"scripts": {"postinstall": "mv node_modules/some-package /custom/path/ && ln -s /custom/path/some-package node_modules/"}
}

注意：此方法可能破坏依赖关系，仅作为备选方案。

关键总结

方法 ---------------------||||||||适用场景 |||||||||||||||||||||||||||||||------------------------是否修改 package-lock.json
在 package.json 指定 |||||||单个包的 Git、本地路径或 Tarball 地址||||-----✅ 自动更新
.npmrc 作用域配置 ||||||||||||私有作用域包（如 @company/package） ||||❌ 仅影响安装源
临时 |||||||||||||||||||==||||||–registry 一次性安装特定源的包 ||||||❌ 不修改文件
postinstall 脚本||||||||||||| 强制修改安装位置（不推荐） ||||||||||||❌ 手动干预

验证步骤

修改 package.json 或 .npmrc 后运行：

rm -rf node_modules package-lock.json  # 清除旧依赖
npm install

检查 package-lock.json 中对应包的 resolved 字段是否更新为指定地址。

⚠️ 注意：不要手动编辑 package-lock.json！它由 npm 自动维护，直接修改可能导致依赖混乱。始终通过 package.json 或配置管理安装源。