[node.js] “npm install”이 package-lock.json을 다시 쓰는 이유는 무엇입니까?

짧은 답변:

• npm install package-lock.json이 package.json의 요구 사항을 충족하는 경우에만 존중합니다.
• 이러한 요구 사항을 충족하지 않으면 패키지가 업데이트되고 패키지 잠금이 덮어 씁니다.
• 빌드가 실패하면 패키지 잠금을 다시 작성하는 것보다을 사용하십시오 npm ci.

---

다음은 상황을 설명 할 수있는 시나리오입니다 (NPM 6.3.0으로 검증 됨).

package.json에서 다음과 같이 종속성을 선언합니다.

"depA": "^1.0.0"

그런 다음 다음 npm install과 같이 package-lock.json을 생성합니다.

"depA": "1.0.0"

며칠 후 “depA”의 최신 마이너 버전 (예 : “1.1.0”)이 릴리스되면 다음 사항이 적용됩니다.

npm ci       # respects only package-lock.json and installs 1.0.0

npm install  # also, respects the package-lock version and keeps 1.0.0 installed
             # (i.e. when package-lock.json exists, it overrules package.json)

다음으로 package.json을 수동으로 업데이트하여 다음을 수행하십시오.

"depA": "^1.1.0"

그런 다음 다시 실행하십시오.

npm ci      # will try to honor package-lock which says 1.0.0
            # but that does not satisfy package.json requirement of "^1.1.0"
            # so it would throw an error

npm install # installs "1.1.0" (as required by the updated package.json)
            # also rewrites package-lock.json version to "1.1.0"
            # (i.e. when package.json is modified, it overrules the package-lock.json)

---

답변