Почему я должен проверять package-lock.json?

Question

Допустим, у меня есть пакетная версия (например, экспресс) в моем package.json "express":"1.2"

Если кто-то еще работает с моим модулем, они получат версию 1.2, зачем мнепроверять блокировку пакета?
Если версия не упомянута, то я согласен.

Ответы, кажется, упоминают, чтобы убедиться, что все, кто работает над проектом, получают одинаковую версию,вот почему блокировка должна быть проверена.

Answer 1

Файл package-lock.json является попыткой убедиться, что пакеты, используемые разработчиками, соответствуют пакетам, используемым в другой важной среде: production .

Это также гарантирует, что любые изменения в версиях, используемых в рабочей среде, являются преднамеренными, имеют возможность быть проверенными и могут быть легко отменены путем создания и развертывания более старой версии исходного кода приложения.

Обратите внимание, что включение версии 1.2 в dependencies в package.json говорит npm, что он может выбрать самую последнюю версию, которая начинается с 1.2.

Даже несмотря на то, что различие в версии предполагает неразрывное изменение, на самом деле ничто не мешает разработчикам express разбить пакет между гипотетическими версиями 1.2.0 и 1.2.1, поэтому важно убедиться, что переход между эти версии являются преднамеренными и легко обратимыми.