【轉載】package-lock.json的作用
- 2020 年 4 月 9 日
- 筆記
npm install後都會有一個package-lock.json,作用是什麼？
1、鎖定安裝時的包的版本號，需要上傳到git，保證大家的依賴包一致。
2、package-lock.json 是在 `npm install`時候生成一份文件，用來記錄當前狀態下實際安裝的各個npm package的具體來源和版本號。
3、它有什麼用呢？因為npm是一個用於管理package之間依賴關係的管理器，它允許開發者在pacakge.json中間標出自己項目對npm各庫包的依賴。你可以選擇以如下方式來標明自己所需要庫包的版本；例如：
"dependencies": { "@types/node": "^8.0.33", },
這裡面的 向上標號^是定義了向後（新）兼容依賴，指如果 types/node的版本是超過8.0.33，並在大版本號（8）上相同，就允許下載最新版本的 types/node庫包，例如實際上可能運行npm install時候下載的具體版本是8.0.35。
大多數情況這種向新兼容依賴下載最新庫包的時候都沒有問題，可是因為npm是開源世界，各庫包的版本語義可能並不相同，有的庫包開發者並不遵守嚴格這一原則：相同大版本號的同一個庫包，其介面符合兼容要求。這時候用戶就很頭疼了：在完全相同的一個nodejs的程式碼庫，在不同時間或者不同npm下載源之下，下到的各依賴庫包版本可能有所不同，因此其依賴庫包行為特徵也不同有時候甚至完全不兼容。
解決：
因此npm最新的版本就開始提供自動生成package-lock.json功能，為的是讓開發者知道只要你保存了源文件，到一個新的機器上、或者新的下載源，只要按照這個package-lock.json所標示的具體版本下載依賴庫包，就能確保所有庫包與你上次安裝的完全一樣。
4、package.json缺點
原來package.json文件只能鎖定大版本，也就是版本號的第一位，並不能鎖定後面的小版本，你每次npm install都是拉取的該大版本下的最新的版本，為了穩定性考慮我們幾乎是不敢隨意升級依賴包的，這將導致多出來很多工作量，測試/適配等，所以package-lock.json文件出來了，當你每次安裝一個依賴的時候就鎖定在你安裝的這個版本。
5、安裝依賴出問題的解決方式不同：
那如果我們安裝時的包有bug，後面需要更新怎麼辦？
以前：在以前可能就是直接改package.json裡面的版本，然後再npm install了。
現在：但是5版本後就不支援這樣做了，因為版本已經鎖定在package-lock.json里了，所以我們只能npm install [email protected] 這樣去更新我們的依賴，然後package-lock.json也能隨之更新。
例如：
假如我已經安裝了Verdaccio 4.1.4這個版本，從git更新了package.json和package-lock.json，我npm install能覆蓋掉node_modules裡面的依賴嗎?
其實我也有這個疑問，所以做了測試，在直接更新package.json和package-loc.json這兩個文件後，npm install是可以直接覆蓋掉原先的版本的，所以在協作開發時，這兩個文件如果有更新，你的開發環境應該npm install一下才對。
