Mengapa "npm install" menulis ulang package-lock.json?

Saya baru saja ditingkatkan ke npm @ 5 . Saya sekarang memiliki file package-lock.json dengan semuanya dari package.json . Saya berharap bahwa, ketika saya menjalankan npm installbahwa versi dependensi akan ditarik dari file kunci untuk menentukan apa yang harus diinstal di direktori node_modules saya . Apa yang aneh adalah bahwa itu akhirnya memodifikasi dan menulis ulang file package-lock.json saya .

Misalnya, file kunci memiliki naskah yang ditentukan untuk berada di versi 2.1.6 . Kemudian, setelah npm installperintah, versi diubah menjadi 2.4.1 . Itu tampaknya mengalahkan seluruh tujuan file kunci.

Apa yang saya lewatkan? Bagaimana saya mendapatkan npm untuk benar-benar menghargai file kunci saya?

Pembaruan 3: Seperti jawaban lain tunjukkan juga, npm ciperintah diperkenalkan di npm 5.7.0 sebagai cara tambahan untuk mencapai build yang cepat dan dapat direproduksi dalam konteks CI. Lihat dokumentasi dan blog npm untuk informasi lebih lanjut.

Pembaruan 2: Masalah untuk memperbarui dan memperjelas dokumentasi adalah masalah GitHub # 18103 .

Pembaruan 1: Perilaku yang dijelaskan di bawah diperbaiki pada npm 5.4.2: perilaku yang dimaksud saat ini diuraikan dalam masalah GitHub # 17979 .

Jawaban asli: Perilaku package-lock.jsondiubah dalam npm 5.1.0 seperti yang dibahas dalam edisi # 16866 . Perilaku yang Anda amati tampaknya dimaksudkan oleh npm pada versi 5.1.0.

Itu berarti package.jsondapat menimpa package-lock.jsonkapan pun versi yang lebih baru ditemukan untuk dependensi di package.json. Jika Anda ingin menyematkan dependensi secara efektif, Anda sekarang harus menentukan versi tanpa awalan, misalnya, Anda harus menuliskannya sebagai 1.2.0ganti ~1.2.0atau ^1.2.0. Maka kombinasi dari package.jsondan package-lock.jsonakan menghasilkan membangun direproduksi. Agar lebih jelas: package-lock.jsonsendirian tidak lagi mengunci dependensi level root!

Apakah keputusan desain ini baik atau tidak dapat diperdebatkan, ada diskusi berkelanjutan yang dihasilkan dari kebingungan tentang GitHub ini dalam edisi # 17979 . (Di mata saya itu adalah keputusan yang dipertanyakan; setidaknya nama lockitu tidak berlaku lagi.)

Satu lagi catatan tambahan: ada juga batasan untuk pendaftar yang tidak mendukung paket yang tidak dapat diubah, seperti ketika Anda menarik paket langsung dari GitHub dan bukannya npmjs.org. Lihat dokumentasi kunci paket ini untuk penjelasan lebih lanjut.

Saya telah menemukan bahwa akan ada versi baru npm 5.7.1 dengan perintah baru npm ci, yang akan menginstal dari package-lock.jsonsaja

Perintah npm ci baru HANYA instal dari file kunci Anda. Jika package.json Anda dan file kunci Anda tidak sinkron maka itu akan melaporkan kesalahan.

Ia bekerja dengan membuang node_modules Anda dan membuatnya kembali dari awal.

Selain menjamin Anda bahwa Anda hanya akan mendapatkan apa yang ada di file kunci Anda, itu juga jauh lebih cepat (2x-10x!) Daripada menginstal npm ketika Anda tidak memulai dengan node_modules.

Seperti yang Anda ambil dari namanya, kami berharap ini menjadi keuntungan besar bagi lingkungan integrasi berkelanjutan. Kami juga berharap bahwa orang-orang yang melakukan penyebaran produksi dari git tag akan melihat keuntungan besar.

Gunakan yang baru diperkenalkan

npm ci

npm ci menjanjikan manfaat terbesar bagi tim besar. Memberi pengembang kemampuan untuk "keluar" pada kunci paket mempromosikan kolaborasi yang lebih efisien di seluruh tim besar, dan kemampuan untuk menginstal apa yang ada di lockfile berpotensi menyelamatkan puluhan bahkan ratusan jam pengembang dalam sebulan, membebaskan tim untuk menghabiskan lebih banyak waktu membangun dan mengirimkan hal-hal menakjubkan

Memperkenalkan npm ciuntuk pembuatan yang lebih cepat dan lebih andal

Jawaban singkat:

• npm install menghormati package-lock.json hanya jika memenuhi persyaratan package.json.
• Jika tidak memenuhi persyaratan tersebut, paket diperbarui & kunci-paket ditimpa.
• Jika Anda lebih baik gagal membangun, daripada menulis ulang kunci-paket saat itu terjadi, gunakan npm ci.

Berikut adalah skenario yang mungkin menjelaskan hal-hal (Diverifikasi dengan NPM 6.3.0)

Anda mendeklarasikan dependensi dalam package.json seperti:

"depA": "^1.0.0"

Kemudian Anda lakukan, npm installyang akan menghasilkan package-lock.json dengan:

"depA": "1.0.0"

Beberapa hari kemudian, versi minor "depA" yang lebih baru dirilis, katakan "1.1.0", kemudian yang berikut ini berlaku:

npm ci       # respects only package-lock.json and installs 1.0.0

npm install  # also, respects the package-lock version and keeps 1.0.0 installed 
             # (i.e. when package-lock.json exists, it overrules package.json)

Selanjutnya, Anda memperbarui paket Anda secara manual ke:

"depA": "^1.1.0"

Kemudian jalankan kembali:

npm ci      # will try to honor package-lock which says 1.0.0
            # but that does not satisfy package.json requirement of "^1.1.0" 
            # so it would throw an error 

npm install # installs "1.1.0" (as required by the updated package.json)
            # also rewrites package-lock.json version to "1.1.0"
            # (i.e. when package.json is modified, it overrules the package-lock.json)

Gunakan npm ciperintah sebagai ganti npm install.

"ci" adalah singkatan dari "continuous continuous".

Ini akan menginstal dependensi proyek berdasarkan pada file package-lock.json alih-alih dependensi file package.json yang ringan.

Ini akan menghasilkan build identik dengan rekan tim Anda dan juga jauh lebih cepat.

Anda dapat membaca lebih lanjut tentang hal ini di posting blog ini: https://blog.npmjs.org/post/171556855892/introducing-npm-ci-for-faster-more-r reliable

Di masa depan, Anda akan dapat menggunakan --from-lock-filebendera (atau serupa) untuk menginstal hanya dari package-lock.jsontanpa mengubahnya.

Ini akan berguna untuk CI, dll. Lingkungan di mana bangunan yang direproduksi penting.

Lihat https://github.com/npm/npm/issues/18286 untuk melacak fitur tersebut.

Tampaknya masalah ini diperbaiki di npm v5.4.2

https://github.com/npm/npm/issues/17979

(Gulir ke bawah ke komentar terakhir di utas)

Memperbarui

Sebenarnya diperbaiki dalam 5.6.0. Ada bug lintas platform di 5.4.2 yang menyebabkan masalah masih terjadi.

https://github.com/npm/npm/issues/18712

Perbarui 2

Lihat jawaban saya di sini: https://stackoverflow.com/a/53680257/1611058

npm ci adalah perintah yang harus Anda gunakan saat menginstal proyek yang ada sekarang.

Anda mungkin memiliki sesuatu seperti:

"typescript":"~2.1.6"

di package.jsonmana npm Anda memperbarui ke versi minor terbaru, dalam kasus Anda2.4.1

Sunting: Pertanyaan dari OP

Tetapi itu tidak menjelaskan mengapa "npm install" akan mengubah file kunci. Bukankah file kunci dimaksudkan untuk membuat bangunan yang dapat direproduksi? Jika demikian, terlepas dari nilai semver, masih harus menggunakan versi 2.1.6 yang sama.

Menjawab:

Ini dimaksudkan untuk mengunci pohon ketergantungan penuh Anda. Katakanlah typescript v2.4.1membutuhkan widget ~v1.0.0. Ketika Anda npm instal ambil widget v1.0.0. Kemudian rekan pengembang Anda (atau CI build) melakukan instalasi npm dan mendapatkan typescript v2.4.1tetapi widgettelah diperbarui widget v1.0.1. Sekarang modul simpul Anda tidak sinkron. Inilah yang package-lock.jsonmencegah.

Atau lebih umum:

Sebagai contoh, pertimbangkan

paket A:

{"name": "A", "version": "0.1.0", "dependencies": {"B": "<0.1.0"}}

paket B:

{"name": "B", "version": "0.0.1", "dependencies": {"C": "<0.1.0"}}

dan paket C:

{"name": "C", "version": "0.0.1"}

Jika ini adalah satu-satunya versi A, B, dan C yang tersedia di registri, maka instal normal npm A akan menginstal:

[email protected] - [email protected] - [email protected]

Namun, jika [email protected] diterbitkan, maka instal baru npm A akan menginstal:

[email protected] - [email protected] - [email protected] dengan asumsi versi baru tidak mengubah dependensi B. Tentu saja, versi B yang baru dapat mencakup versi C baru dan sejumlah dependensi baru. Jika perubahan tersebut tidak diinginkan, penulis A dapat menentukan ketergantungan pada [email protected]. Namun, jika penulis A dan penulis B bukan orang yang sama, tidak ada cara bagi penulis A untuk mengatakan bahwa ia tidak ingin menarik versi C yang baru diterbitkan ketika B tidak berubah sama sekali.

OP Pertanyaan 2: Jadi biarkan saya melihat apakah saya mengerti dengan benar. Apa yang Anda katakan adalah bahwa file kunci menentukan versi dependensi sekunder, tetapi masih bergantung pada pencocokan fuzzy package.json untuk menentukan dependensi tingkat atas. Apakah itu akurat?

Jawab: Tidak. Kunci-paket mengunci seluruh paket pohon, termasuk paket-paket root yang dijelaskan di package.json. Jika typescriptdikunci di 2.4.1dalam Anda package-lock.json, itu harus tetap seperti itu sampai diubah. Dan katakanlah besok typescriptrilis versi 2.4.2. Jika saya checkout cabang Anda dan menjalankan npm install, npm akan menghormati lockfile dan menginstal 2.4.1.

Lebih lanjut tentang package-lock.json:

package-lock.json secara otomatis dihasilkan untuk operasi apa pun di mana npm memodifikasi pohon node_modules, atau package.json. Ini menjelaskan pohon persis yang dihasilkan, sehingga instalasi berikutnya dapat menghasilkan pohon yang identik, terlepas dari pembaruan ketergantungan menengah.

File ini dimaksudkan untuk dijadikan repositori sumber, dan melayani berbagai tujuan:

Jelaskan representasi tunggal dari pohon dependensi sehingga rekan tim, penyebaran, dan integrasi berkelanjutan dijamin untuk menginstal dependensi yang persis sama.

Menyediakan fasilitas bagi pengguna untuk "melakukan perjalanan waktu" ke keadaan sebelumnya dari node_modules tanpa harus melakukan direktori itu sendiri.

Untuk memfasilitasi visibilitas perubahan pohon yang lebih besar melalui perbedaan kontrol sumber yang dapat dibaca.

Dan optimalkan proses instalasi dengan memungkinkan npm untuk melewati resolusi metadata berulang untuk paket yang sebelumnya diinstal.

https://docs.npmjs.com/files/package-lock.json

Mungkin Anda harus menggunakan sesuatu seperti ini

npm ci

Alih-alih menggunakan npm install jika Anda tidak ingin mengubah versi paket Anda.

Menurut dokumentasi resmi, keduanya npm installdan npm cimenginstal dependensi yang diperlukan untuk proyek.

Perbedaan utama adalah, npm installapakah menginstal paket mengambil packge.jsonsebagai referensi. Di mana dalam kasus npm ci, itu menginstal paket mengambil package-lock.jsonsebagai referensi, memastikan setiap kali paket yang tepat diinstal.

Ada masalah terbuka untuk ini di halaman github mereka: https://github.com/npm/npm/issues/18712

Masalah ini paling parah ketika pengembang menggunakan sistem operasi yang berbeda.

EDIT: nama "kunci" adalah yang rumit, NPM-nya berusaha mengejar ketinggalan dengan Benang. Ini bukan file yang terkunci. package.jsonadalah file yang diperbaiki pengguna, yang pernah "diinstal" akan menghasilkan pohon folder node_modules dan kemudian pohon itu akan ditulis package-lock.json. Jadi Anda lihat, ini sebaliknya - versi ketergantungan akan ditarik package.jsonseperti biasa, dan package-lock.jsonharus dipanggilpackage-tree.json

(Semoga ini membuat jawaban saya lebih jelas, setelah banyak downvotes)

Sebuah jawaban sederhana: package.jsonmemiliki dependensi Anda seperti biasa, sementara package-lock.json"pohon node_modules tepat, dan lebih penting direproduksi" (diambil dari npm docs sendiri ).

Adapun nama yang rumit, NPM-nya berusaha mengejar ketinggalan dengan Benang.