Какова роль пакета-lock.json?

npm @ 5 был опубликован, у него есть новый файл package-lock.json (после npm install), который меня смущает. Я хочу знать, каков эффект этого файла?

Он хранит точное версионное дерево зависимостей, а не использует помеченное версионирование, как сам package.json (например, 1.0. *). Это означает, что вы можете гарантировать зависимости для других разработчиков или выпусков продукта и т. Д. Он также имеет механизм блокировки дерева, но, как правило, восстанавливается при изменении package.json.

Из документов npm :

package-lock.json автоматически генерируется для любых операций, в которых npm изменяет либо дерево node_modules, либо package.json. Он описывает точное дерево, которое было сгенерировано, так что последующие установки могут генерировать идентичные деревья, независимо от промежуточных обновлений зависимостей.

Этот файл предназначен для фиксации в исходных хранилищах и предназначен для различных целей:

Опишите единственное представление дерева зависимостей, чтобы товарищи по команде, развертывания и непрерывная интеграция гарантированно устанавливали одинаковые зависимости.

Предоставьте пользователям возможность «путешествовать во времени» к предыдущим состояниям node_modules без необходимости фиксации самого каталога.

Для облегчения большей видимости изменений дерева с помощью читаемых исходных кодов контроля.

И оптимизировать процесс установки, позволяя npm пропускать повторные разрешения метаданных для ранее установленных пакетов ».

редактировать

Чтобы ответить на вопрос Джрахали ниже об использовании package.json с точными номерами версий. Помните, что ваш package.json содержит только ваши прямые зависимости, а не зависимости ваших зависимостей (иногда называемые вложенными зависимостями). Это означает, что со стандартным package.json вы не можете контролировать версии этих вложенных зависимостей, ссылаться на них напрямую или в качестве одноранговых зависимостей не поможет, так как вы также не контролируете допуск на версию, который ваши прямые зависимости определяют для этих вложенных зависимостей. ,

Даже если вы заблокируете версии ваших прямых зависимостей, вы не можете на 100% гарантировать, что ваше полное дерево зависимостей будет всегда идентичным. Во-вторых, вы можете разрешить неразрывные изменения (основанные на семантическом управлении версиями) ваших прямых зависимостей, что дает вам еще меньший контроль над вложенными зависимостями, и опять же вы не можете гарантировать, что ваши прямые зависимости в какой-то момент не нарушат правила семантического управления версиями самих себя.

Решением всего этого является файл блокировки, который, как описано выше, блокирует версии полного дерева зависимостей. Это позволяет вам гарантировать ваше дерево зависимостей для других разработчиков или для выпусков, в то же время позволяя тестировать новые версии зависимостей (прямые или косвенные), используя ваш стандартный package.json.

NB. Предыдущее сжатие json сделало почти то же самое, но файл блокировки переименовал его, чтобы его функция стала понятнее. Если в проекте уже есть файл термоусадочной пленки, он будет использован вместо любого файла блокировки.

Это очень важное улучшение для npm: гарантировать одинаковую версию каждого пакета .

Как убедиться, что ваш проект собран с одинаковыми пакетами в разных средах в разное время? Давайте скажем, вы можете использовать ^1.2.3в вашем package.json, или некоторые из ваших зависимостей используют этот способ, но как может у обеспечить каждый раз npm installподберут ту же версию в вашем Dev машине и на сервере сборки? package-lock.json обеспечит это.

npm installповторно сгенерирует файл блокировки, когда на сервере сборки или сервере развертывания, выполните npm ciкоманду (которая прочитает файл блокировки и установит все дерево пакетов)

package-lock.jsonзаписывается, когда числовое значение в свойстве, таком как свойство «версия» или свойство зависимости, изменяется в package.json.

Если эти числовые значения package.jsonи package-lock.jsonсовпадают, package-lock.jsonсчитывается из.

Если эти числовые значения в package.jsonи package-lock.jsonне совпадают, package-lock.jsonзаписывается с этими новыми значениями и новыми модификаторами, такими как каретка и тильда, если они присутствуют. Но именно цифра вызывает изменение package-lock.json.

Чтобы понять, что я имею в виду, сделайте следующее. Используя package.jsonбез package-lock.json, запустите npm installс:

{
  "name": "test",
  "version": "1.0.0",
  ...
  "devDependencies": {
    "sinon": "7.2.2"
  }
}

package-lock.json теперь будет иметь:

"sinon": {
  "version": "7.2.2",

Теперь скопируйте / вставьте оба файла в новый каталог. Изменить package.jsonна (только добавление каретки):

{
  "name": "test",
  "version": "1.0.0",
  ...
  "devDependencies": {
    "sinon": "^7.2.2"
  }
}

бежать npm install. Если бы не было package-lock.jsonфайла, sinon@7.3.0 будет установлен. npm installэто чтение с package-lock.json и установкой 7.2.2.

Теперь измените package.jsonна:

{
  "name": "test",
  "version": "1.0.0",
  ...
  "devDependencies": {
    "sinon": "^7.3.0"
  }
}

бежать npm install. package-lock.jsonбыло написано , и теперь покажет:

"sinon": {
  "version": "^7.3.0",

Также важно упомянуть улучшение безопасности, которое идет с файлом блокировки пакета. Так как он сохраняет все хэши пакетов, если кто-то вмешается в общедоступный реестр npm и изменит исходный код пакета, даже не изменив версию самого пакета, он будет обнаружен файлом блокировки пакетов.

package-lock.json автоматически генерируется для любых операций, в которых npm изменяет либо дерево node_modules, либо package.json. Он описывает точное дерево, которое было сгенерировано, так что последующие установки могут генерировать идентичные деревья, независимо от промежуточных обновлений зависимостей.

Он описывает единственное представление дерева зависимостей, так что товарищи по команде, развертывания и непрерывная интеграция гарантированно устанавливают точно такие же зависимости. Содержит следующие свойства.

    {
"name": "mobileapp",
"version": "1.0.0",
"lockfileVersion": 1,
"requires": true,
"dependencies": {
"@angular-devkit/architect": {
  "version": "0.11.4",
  "resolved": "https://registry.npmjs.org/@angular- devkit/architect/-/architect-0.11.4.tgz",
  "integrity": "sha512-2zi6S9tPlk52vyqNFg==",
  "dev": true,
  "requires": {
    "@angular-devkit/core": "7.1.4",
    "rxjs": "6.3.3"
  }
},

}

Этот файл автоматически создается и используется npm для отслеживания установок вашего пакета и для лучшего управления состоянием и историей зависимостей вашего проекта. Вы не должны изменять содержимое этого файла.

package-lock.json: содержит точную информацию о версии, которая в данный момент установлена ​​для вашего приложения.