资讯专栏INFORMATION COLUMN

上云采购季！| 爆款云服务器低至4.6元/月，首单享0.9折

免费试用
首页/文章专栏/npm的lock机制解析

npm的lock机制解析

BlackFlagBin / 1263人阅读

摘要：但往往中指定的是一个版本范围，例如以上这个指定的范围是版本号大于等于且大版本号为。之后的机制满足了要求锁版本的开发者们的需要，我们只需要拿到一份就可以知道要安装的依赖的具体版本号。

npm是什么

npm是一个包管理工具，开源作者可以把开源包发布在平台上供其他人下载使用。前端的同学基本都使用过npm，这里就不做过多介绍。日常工作中npm的主要用途就是根据项目的package.json使用npm install去安装依赖。

npm install可以说是我们使用最频繁的一个指令。在npm5版本之前,npm install会根据package.json指定的依赖版本去进行安装。但往往package.json中指定的是一个版本范围，例如：

"dependencies": {
    "packageA": "^2.0.0"
},

以上这个 ^2.0.0 指定的范围是版本号大于等于2.0.0且大版本号为2。即2.6.10这个是符合的，而3.0.0和1.0.0这种是不符合的。

这样的范围指定会导致一个问题：A新建了一个项目，生成了上面这份package.json文件，但A安装依赖的时间比较早，此时packageA的最新版本是2.1.0，该版本与代码兼容，没有出现bug。后来B克隆了A的项目，在安装依赖时packageA的最新版本是2.2.0，那么根据语义npm会去安装2.2.0的版本，但2.2.0版本的API可能发生了改动，导致代码出现bug。

这就是package.json会带来的问题，同一份package.json在不同的时间和环境下安装会产生不同的结果。

理论上这个问题是不应该出现的，因为npm作为开源世界的一部分，也遵循一个发布原则：相同大版本号下的新版本应该兼容旧版本。即2.1.0升级到2.2.0时API不应该发生变化。

但很多开源库的开发者并没有严格遵守这个发布原则，导致了上面的这个问题。

lock机制 
一个新的事物的诞生都是为了解决一个历史问题

基于这种状况，npm5推出了lock机制。在使用npm5.0.0之后的版本时，npm install后会自动生成package-lock.json文件，该文件记录了当前这次install所安装的依赖版本号。

例如当package.json的依赖如下：

"dependencies": {
    "vue": "^2.0.0"
  },

install后自动生成的package-lock.json会指定安装vue2.6.10版本（当前最新）

"dependencies": {
    "vue": {
      "version": "2.6.10",
      "resolved": "https://registry.npm.taobao.org/vue/download/vue-2.6.10.tgz",
      "integrity": "sha1-pysaQqTYKnIepDjRtr9V5mGVxjc="
    }
  }

package-lock.json相当于本次install的一个快照，它不仅记录了package.json指明的直接依赖的版本，也记录了间接依赖的版本。

如果我们想在不同环境和不同时间下每次install时安装相同版本的依赖，我们就可以把package-lock.json带上。

当package.json和package-lock.json同时存在时，npm install会去检测package-lock.json指定的依赖版本是否在package.json指定的范围内。如果在，则安装package-lock.json指定的版本。如果不在，则忽略package-lock.json，并且用安装的新版本号覆盖package-lock.json。

举个例子：

// package.json
"dependencies": {
    "vue": "^2.0.0"
  }

// package-lock.json
"dependencies": {
    "vue": {
      "version": "2.1.0",
      "resolved": "https://registry.npm.taobao.org/vue/download/vue-2.1.0.tgz",
      "integrity": "sha1-KTuj76rKhGqmvL+sRc+FJMxZfj0="
    }
  }

这种情况下package-lock.json指定的2.1.0在^2.0.0指定的范围内，npm install会安装vue2.1.0版本。

// package.json
"dependencies": {
    "vue": "^2.2.0"
  }

// package-lock.json
"dependencies": {
    "vue": {
      "version": "2.1.0",
      "resolved": "https://registry.npm.taobao.org/vue/download/vue-2.1.0.tgz",
      "integrity": "sha1-KTuj76rKhGqmvL+sRc+FJMxZfj0="
    }
  }

这种情况下package-lock.json指定的2.1.0不在^2.2.0指定的范围内，npm install会按照^2.2.0的规则去安装最新的2.6.10版本，并且将package-lock.json的版本更新为2.6.10。

值得注意的是npm5一发布时并不是采取这种install逻辑，在npm5.0到npm5.6之间install的逻辑发生了多次变更，而在npm5.6之后一直沿用当前这种逻辑。

npm ci

npm5之后的lock机制满足了要求锁版本的开发者们的需要，我们只需要拿到一份package-lock.json就可以知道要安装的依赖的具体版本号。但细心的同学会发现当package-lock.json指定的版本号不在package.json指定的范围内时，package-lock.json就会被更新覆盖。这可不利于我们去维持版本的固定。

因此后续npm也推出了npm ci的指令来解决这一问题，npm ci和npm i的不同之处在于：当package-lock.json指定的依赖版本不在package.json指定的依赖版本范围内时，npm会报错并取消安装。

这样我们就不怕在package-lock和package.json不一致时发生覆盖更新。

总结

在npm5.6以后我们就可以放心大胆地使用package-lock.json文件来锁版本，而在构建部署时可以使用npm ci安装命令来防止npm install的覆盖更新问题。

写在最后

我个人开了一个公众号“前端搬运小工”，我会定期推送优秀的前端精选文章，拒绝无脑基础入门的文章，带给你不一样的前端视角。

idc机房托管 超融合服务器 locking locks lock lock linux

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/105074.html

相关文章

  • 2018 年了，你还是只会 npm install 吗

    摘要：无需手动拷贝文件或者创建软链接到目录，有更优雅的解决方案。这是因为识别协议的，得知这个包需要直接从文件系统中获取，会自动创建软链接到中，完成安装过程。 nodejs 社区乃至 Web 前端工程化领域发展到今天，作为 node 自带的包管理工具的 npm 已经成为每个前端开发者必备的工具。但是现实状况是，我们很多人对这个nodejs基础设施的使用和了解还停留在: 会用 npm insta...

    libxd 评论0 收藏0

  • 你想知道关于package-lock.json的一切，但是太害怕了问了？

    摘要：内容结构是中列出的每个依赖项的大型列表，应安装的特定版本，模块的位置，验证模块完整性的哈希，它需要的包列表，以及依赖项列表。期望与真实行为之间的这种冲突在中引发了一个非常有趣的问题线索。此更改是作为的一部分发布的，该版本于年月日上线。 showImg(https://segmentfault.com/img/bVbkuXN?w=1440&h=1080); 想阅读更多优质文章请猛戳Git...

    OBKoro1 评论0 收藏0

  • 前端构建工具（2） -- npm&yarn

    摘要：如果使用了代表代表，则跳过提问阶段，直接生成一个新的文件。 前言 简介:node的包管理器,它随nodejs一起安装，即你安装了nodejs就可以用npm进行包管理，通过npm可以从npm服务器下载别人上传的第三方库，下载并安装别人上传的命令行程序，上传自己写的第三方库和命令行程序可用npm -v查看npm版本号确定npm是否可用，如果npm版本过低，可以使用npm -install ...

    zhangke3016 评论0 收藏0

  • 前端核心工具：yarn、npm、cnpm三者如何优雅的在一起使用 ？

    摘要：由于文件中版本号的特点，下面三个版本号在安装的时候代表不同的含义。安装版本统一为了防止拉取到不同的版本，有一个锁定文件记录了被确切安装上的模块的版本号。 showImg(https://segmentfault.com/img/bVbs8Rg?w=1920&h=1080); 一位用不好包管理器的前端，是一个入门级前端，一个用不好webpack的前端，是一个初级前端 三个包管理器是可以一...

    sihai 评论0 收藏0

  • 前端核心工具：yarn、npm、cnpm三者如何优雅的在一起使用 ？

    摘要：由于文件中版本号的特点，下面三个版本号在安装的时候代表不同的含义。安装版本统一为了防止拉取到不同的版本，有一个锁定文件记录了被确切安装上的模块的版本号。 showImg(https://segmentfault.com/img/bVbs8Rg?w=1920&h=1080); 一位用不好包管理器的前端，是一个入门级前端，一个用不好webpack的前端，是一个初级前端 三个包管理器是可以一...

    plus2047 评论0 收藏0

发表评论

登陆后可评论

0条评论

BlackFlagBin

男|高级讲师
我要私信

TA的文章

阅读更多
最新活动
阅读需要支付1元查看
<