大部分时候我们都不会去关注package-lock.json这个文件，因为大部分时候我们都不需要去关注自己使用的库的版本，因为这个原因，读者一般也不需要阅读本文。当我们对需要使用的库有明确的版本要求，或者自己写了一个库，在测试的时候需要知道自己测的是哪一版，这个时候就需要注意package-lock.json了。

以下我们通过一些实际试验来了解package-lock.json，相关代码：https://github.com/covbond/package-lock.

package-lock.json是如何生成的？

命令行切换到create-lock中，执行：

npm i lodash

执行的结果是package.json中dependencies增加了lodash字段，通常是最新版本，在我试验的时候，它是4.17.15：

{
  "name": "create-lock",
  "version": "1.0.0",
  "description": "create package-lock.json",
  "main": "index.js",
  "scripts": {},
  "author": "covbond",
  "license": "MIT",
  "dependencies": {
+    "lodash": "^4.17.15"
  }
}

此外，还生成了package-lock.json文件：

{
  "name": "create-lock",
  "version": "1.0.0",
  "lockfileVersion": 1,
  "requires": true,
  "dependencies": {
    "lodash": {
      "version": "4.17.15",
      "resolved": "https://registry.npmjs.org/lodash/-/lodash-4.17.15.tgz",
      "integrity": "sha512-8xOcRHvCjnocdS5cpwXQXVzmmh5e5+saE2QGoeQmbKmRS6J3VQppPOIt0MnmE+4xlZoumy0GPG0D0MVIQbNA1A=="
    }
  }
}

我们注意到package.json中lodash版本前面多了一个^，它表示：以后如果有人把这个项目拉下来安装的话，给他安装的版本要和4.17.15兼容，具体来说就是新安装的版本范围是：>= 4.17.15 且 < 5.0.0。需要了解更多的话，可以搜索“npm 语义化版本”。

现在的问题是，如果别人使用你的项目的时候，lodash已经出到4.18.0了，那么当他把项目代码拉下来，执行npm install的时候，最终安装的lodash会是哪个版本呢？是4.18.0还是4.17.15？

这和你上传代码文件的时候有没有上传package-lock.json是有关的。

由于在写这篇文章的时候，lodash版本还没有出到4.18.0，为了得到问题的答案，我们可以将lodash的版本设置为^4.0.0，这是因为这两种情况是类似的，我们可以从^4.0.0的情况推测^4.17.15的情况。

在without-lock文件夹下我们准备了一份package.json文件，其中lodash的版本为^4.0.0。将命令行切换到这个文件夹下，执行npm install，我们会发现，最终安装的版本不是4.0.0，而是当前最新的lodash版本，这是符合预期的。

但是，如果加上package-lock.json文件，最终安装的lodash版本会是怎样的呢？

使用lock文件

在with-lock文件夹中，我们额外准备了一个lock文件（package-lock.json名字太长，我们用lock指代它），其中lodash的版本是4.0.0。

我们在这个文件夹下执行npm install后，会发现node_modules中lodash的版本是4.0.0。

经过这两个例子的对比，我们就会发现，看起来好像是：如果有lock文件，那么最终版本由lock文件中的版本决定，否则是由package.json中的语义化版本决定的。

那么是不是可以说有lock就只用看lock，没lock就看package.json呢？

其实不是这样的，我们可以再做一个试验。

手动修改`package.json`会怎样？

有时候我们想更新一个库，就直接编辑package.json文件改版本，然后跑npm install。这样的话，最后安装的版本是怎样确定的呢？

切换到modify-package-1，准备的package.json文件中已经将lodash的版本手动从^4.17.15改成了^4.0.0, 这就相当于我们手动修改了lodash的版本，执行npm install，然后我们会发现lock文件一点变化也没有。最终安装的版本还是4.17.15。

切换到modify-package-2，这次准备的package.json文件中版本我们手动改成了^3.0.0。如果执行npm install，最终会安装什么样的版本呢？

从上一部分得到的结论来推测，我们有lock文件，应该全部都听lock的，即使package.json中版本是^3.0.0（>= 3.0.0 且 < 4.0.0），也不用管。

可是，当执行npm install后，我们发现，最终安装的版本是3.10.1（它是满足范围要求的最后一个版本，在lodash中可以查看这个库的历史版本）。而且lock文件被修改了：

{
  "name": "test-lock",
  "version": "1.0.0",
  "lockfileVersion": 1,
  "requires": true,
  "dependencies": {
    "lodash": {
-      "version": "4.17.15",
-      "resolved": "https://registry.npmjs.org/lodash/-/lodash-4.17.15.tgz",
-      "integrity": "sha512-8xOcRHvCjnocdS5cpwXQXVzmmh5e5+saE2QGoeQmbKmRS6J3VQppPOIt0MnmE+4xlZoumy0GPG0D0MVIQbNA1A=="
+      "version": "3.10.1",
+      "resolved": "https://registry.npmjs.org/lodash/-/lodash-3.10.1.tgz",
+      "integrity": "sha1-W/Rejkm6QYnhfUgnid/RW9FAt7Y="
    }
  }
}

从这个例子中我们可以看出，最终结论应该是：对一个库来说，package.json中说要这个版本，lock中说要那个版本，如果没冲突的话，就全听lock的，否则听package.json的，而且还会更新lock文件。

参考资料

这篇文章受But what the hell is package-lock.json?启发而写成。

运行环境

node: v12.16.1
npm: 6.13.4