npm - package-lock.json的作用是什么？

Question

npm@5 已发布，它有一个新功能 package-lock.json 文件(在 npm install 之后)，这让我很困惑。我想知道，这个文件的作用是什么？

Answer 1

它存储精确的版本化依赖关系树，而不是像 package.json 本身那样使用带星号的版本控制(例如 1.0.*)。这意味着您可以保证其他开发人员或产品版本等的依赖关系。它还有一种锁定树的机制，但如果 package.json 发生更改，通常会重新生成。

来自the npm docs :

package-lock.json is automatically generated for any operations where npm modifies either the node_modules tree, or package.json. It describes the exact tree that was generated, such that subsequent installs are able to generate identical trees, regardless of intermediate dependency updates.

This file is intended to be committed into source repositories, and serves various purposes:

Describe a single representation of a dependency tree such that teammates, deployments, and continuous integration are guaranteed to install exactly the same dependencies.

Provide a facility for users to "time-travel" to previous states of node_modules without having to commit the directory itself.

To facilitate greater visibility of tree changes through readable source control diffs.

And optimize the installation process by allowing npm to skip repeated metadata resolutions for previously-installed packages."

编辑

回答 jrahhali 下面关于仅使用具有确切版本号的 package.json 的问题。请记住，您的 package.json 仅包含直接依赖项，而不包含依赖项的依赖项(有时称为嵌套依赖项)。这意味着使用标准 package.json 您无法控制这些嵌套依赖项的版本，直接引用它们或作为对等依赖项引用它们不会有帮助，因为您也无法控制您的版本容差。为这些嵌套依赖项定义直接依赖项。

即使您锁定直接依赖项的版本，您也不能 100% 保证您的完整依赖项树每次都相同。其次，您可能希望允许直接依赖项的非破坏性更改(基于语义版本控制)，这使您对嵌套依赖项的控制更少，而且您再次无法保证您的直接依赖项在某些时候不会破坏语义版本控制规则他们自己。

所有这一切的解决方案是锁定文件，如上所述，它锁定完整依赖树的版本。这使您可以保证其他开发人员或版本的依赖关系树，同时仍然允许使用标准 package.json 测试新的依赖关系版本(直接或间接)。

注意。上一篇npm-shrinkwrap.json做了几乎相同的事情，但锁定文件重命名了它，以便它的功能更清晰。如果项目中已有收缩包装文件，则将使用该文件而不是任何锁定文件。

编辑 2023 年

自 NPM v8.3.0 (2021-12-09) 起，package.json 有一个属性overrides，它可能会帮助您避免触及package-lock .json 文件。

{
  "overrides": {
    "foo": "1.0.0"
  }
}

https://docs.npmjs.com/cli/v9/configuring-npm/package-json#overrides