javascript - 如果 package-lock.json 锁定它，在 package.json 中声明 "compatible version"(^version) 有什么意义？

Question

我知道 package-lock.json 的主要优点，我同意这一点。它不仅会锁定上次安装时下载的版本，还会锁定 uri...在大多数情况下，这是为了尽可能复制最相似的项目所必需的。

但对我来说似乎很奇怪的一件事是 package.json 具有声明依赖项的功能，如 dependency: ^1.0.0，这应该使 npm 到在每次安装中下载该软件包的最新兼容版本。

我正在从事一个我确实需要它的项目。否则每次我的依赖项发布补丁时，都需要进行新的提交更新 package.json 仅更改版本，因此我的管道也可以覆盖 package-lock.json.

简而言之，似乎虽然 package.json 使用了一个功能...... package-lock.json 阻止了那个。

我错过了什么吗？

Answer 1

package-lock.json 的要点是准确地表示树在某个时间点实际存在，这样克隆项目的人就可以完全你拥有的同一棵树。

如果您想将该依赖项升级到更新的版本，只需使用 npm update 然后提交更新后的 package-lock.json。作为获取最新信息的正常过程的一部分，您团队的其他成员将获得该更新。

更多内容在 npmjs.com page on package locks .

让我们考虑这样一种情况，你和我在一个团队中，我们的项目使用 nifty-lib，package.json 说 “nifty-lib” : "^0.4.0"，我们不共享 package-lock.json。也许我在这个项目上的工作时间比你多几个月，我在安装它时得到了 nifty-lib v0.4.0。但是当你拿起并安装它时，你得到了 v0.4.1(一个错误修复更新，不幸的是，它引入了一个新错误)。在某些时候，您注意到我们项目中的一个错误，但我无法复制它。我们在原地旋转了一会儿，试图弄清楚为什么它会发生在你身上而不是我身上。最后，我们意识到这是因为它实际上是他们在 v0.4.1 中引入的 nifty-lib 中的错误。希望我们随后获得 0.4.2 或其他版本(或者如果没有，我们修复错误并进行 PR，同时在整个项目中回滚到 0.4.0)。

如果我们一直共享 package-lock.json，我们就不会想知道为什么问题发生在你身上而不是我身上，因为你们会有相同的版本nifty-lib 和我一样。作为我们正常周期的一部分，我们会定期执行 npm update，如果我们的测试中出现新错误，我们会从提交历史中知道这是由于依赖。

现在，“我”和“你”读作“开发”和“生产”。 :-)

这就是为什么 package-lock.json 锁定版本，但是 package.json 让你说“这个或更好”。 package-lock.json 使您的团队在版本上保持统一，但您可以有意地使用 npm update 进行更新，它会显示在提交历史记录中，因此您可以追踪对其的回归.