package-lock.json和yarn.lock是您最好的朋友

Posted 2021-04-30 做工程师不做码农

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了package-lock.json和yarn.lock是您最好的朋友相关的知识，希望对你有一定的参考价值。

为什么要保留它们以及何时要抛弃它们？

你是不是遇到和思考过下面的问题？

什么是package-lock.json（或yarn.lock）？
我们为什么需要它？
我的package-lock.json文件中有冲突
我提交时会忽略它
我要把它删掉

更糟糕的是，您可能已经删除了它，并提交了您的 PR 或 push 到master！

如果是这种情况，那么您已经修改了比预期大得多的源代码。

您可以控制自己的源代码，但package-lock.json和yarn.lock文件可确保您的第三方代码在两次提交之间不会发生变化

将第三方包视为一等公民

在解开包锁文件的秘密时，理解这一点至关重要。许多开发人员只考虑更改自己的源代码，但是通过软件包管理器（如npm和yarn）安装的第三方代码也同样重要，甚至更多。

为什么？因为它们会导致很难追踪的bug。

换句话说，如果没有package lock文件，您就不知道代码中发生了什么变化，从而产生了您可能观察到的bug。您可能会盯着提交之间的代码差异，花上几个小时思考这些更改不可能导致这个问题。

你是对的，这是你看不到的代码导致问题。

给予您的第三方软件包应有的尊重，并将他们视为您自己的代码。

将您的包看作是由多个开发人员提交给您的项目的二进制代码，就好像它是开源的一样

让我们解决以上几点。

什么是 package lock 文件？水果和蔬菜的比喻

package-lock.json和yarn.lock是您最好的朋友

这样想吧，你喜欢吃水果和蔬菜。每周您都需要购买水果和蔬菜，因此您有一个标准的购物清单，很少更改：

每周购物清单：

水果
蔬菜

现在，您实际上喜欢某些种类的水果和蔬菜，因此您想使列表更具体：

每周购物清单：

 水果
    苹果
    葡萄
    番茄
蔬菜
    洋葱
    土豆
    南瓜

你知道你的口味比这个好一点，所以你添加了一些关于每种水果和蔬菜的细节：

每周购物清单：

水果
    苹果：红色
    葡萄：绿色
    番茄：红色
蔬菜
    洋葱：白色，红色或棕色
    土豆：洗干净的或刨皮了的
    南瓜：任何一种

好的，我们有清单，而且相当详细，但是我们的一些水果和蔬菜还有一些变动的空间。所以我们出去买了清单上的东西，最后得到了一张收据：

收据 - 01/01/2020

苹果 - 富士
番茄 - 红色
葡萄 - 绿的
洋葱 - 棕色
土豆 - 洗净
南瓜 - 原产地

看到这里发生了什么吗？尽管我们没有具体说明一些水果和蔬菜的确切类型，但我们不得不购买确切的类型。

现在，当我们回到家，吃了我们的苹果，煮了我们所有的蔬菜，我们对我们的选择非常满意，所以我们保留着收据，下次带着它去购物，连同我们的清单。

因为我们有收据，上面列出了我们上周购买的商品，所以本周我们购买的商品完全相同。

这可能会一直持续下去，但是假设我们对苹果的口味发生了变化，所以我们写了一个新的清单：

每周购物清单

水果：
    苹果：绿的
    葡萄：白的
    番茄：红色
蔬菜：
    洋葱：白的红的或者棕色的
    土豆：洗干净的或刨皮了的
    南瓜：任何一种

现在，当我们去购物时，我们将不得不购买某种绿色苹果。结算时，我们得到了如下的收据：

收据- 02/01/2020

苹果 - 南方青苹果
番茄 - 红色
葡萄 - 绿的
洋葱 - 棕色
土豆 - 洗净
南瓜 - 原产地

我们已经购买了与上周完全相同的东西，除了我们的苹果换成了南方青苹果！

因为我们保留了收据，所以我们能够记住我们喜欢的所有水果和蔬菜，并继续购买相同的水果和蔬菜。

但是，如果我们扔掉收据怎么办？我们必须从头开始，并可能最终得到我们不喜欢的水果和蔬菜。

得到它了购物清单、收据、水果和蔬菜，但这是一篇有关软件工程的文章？

让我们重新回到软件角度：

购物清单代表您的 package.json 文件
每个水果和蔬菜代表一个package
水果或蔬菜的类型代表该package的确切版本或可接受版本的范围
收据代表您的 package-lock.json 或 yarn.lock 文件

当我们保存收据，也就是我们的 package lock（包锁定）文件时，我们能够确保获得相同package的版本，直到我们的购物清单，也就是我们的 package.json 文件发生了变化。

如果我们丢掉包锁定文件，很可能最终得到的包不是我们期望的。

包锁定文件使提交保持不变

如果在所选的版本控制工具中打开提交图，则图上的每个尖号都代表一个版本的代码，如果该代码的版本被检索（pull）是不可变的，则无论谁以及何时检索它都应该是相同的。

如果您的代码库包含具有依赖性的 package.json 文件，而不是package-lock.json 或 yarn.lock 文件（或其他软件包管理器用来锁定软件包版本的另一个文件），则不是这种情况。如果在不同的时间访问提交，我们可以得到不同版本的软件包。

这是因为包的新版本一直都在发布，而且我们已经允许在一些我们将接受的版本中存在差异。例如：

{
  "name": "my-angular-app",
  "version": "1.0.0",
  "scripts": {
    "ng": "ng",
    "start": "ng serve",
    "build": "ng build",
    "test": "ng test",
    "lint": "ng lint",
    "e2e": "ng e2e"
  },
  "private": true,
  "dependencies": {
    "@angular/animations": "^8.2.1",
    "@angular/common": "^8.2.1",
    "@angular/compiler": "^8.2.1",
    "@angular/core": "^8.2.1",
    "@angular/forms": "^8.2.1",
    "@angular/http": "^8.0.0-beta.10",
    "@angular/platform-browser": "^8.2.1",
    "@angular/platform-browser-dynamic": "^8.2.1",
    "@angular/router": "^8.2.1",
    "core-js": "^2.5.4",
    "csstype": "^2.5.8",
    "ng2-file-upload": "^1.3.0",
    "rxjs": "~6.5.3",
    "zone.js": "~0.9.1",
    "typescript": "~3.5.0"
  },
  "devDependencies": {
    "@angular-devkit/build-angular": "~0.803.19",
    "@angular/cli": "^8.3.19",
    "@angular/compiler-cli": "^8.2.1",
    "@angular/language-service": "^8.2.1",
    "@nguniversal/express-engine": "^7.0.2",
    "@types/jasmine": "~2.8.8",
    "@types/jasminewd2": "~2.0.3",
    "@types/node": "~8.9.4",
    "codelyzer": "~4.5.0",
    "jasmine-core": "~2.99.1",
    "jasmine-spec-reporter": "~4.2.1",
    "karma": "~3.0.0",
    "karma-chrome-launcher": "~2.2.0",
    "karma-coverage-istanbul-reporter": "~2.0.1",
    "karma-jasmine": "~1.1.2",
    "karma-jasmine-html-reporter": "^0.2.2",
    "protractor": "~5.4.0",
    "ts-node": "~7.0.0",
    "tslint": "~5.11.0"
  }
}