关于依赖关系的最佳实践

Question

保存package.json依赖项的最佳实践是什么？

例如，我看到很多依赖项是不固定的，比如：

  "tslint": "~5.11.0"

Answer 1

简短回答：插入符号(^)和提交包-lock.json可能是最好的方法。这确保开发人员总是获得相同的依赖关系，并且是最不令人惊讶的。

npm特别建议您提交包-lock.json。

强烈建议您将生成的包锁提交给源代码管理：这将允许您的团队、部署、配置项/持续集成中的任何其他成员以及在包源代码中运行npm install的任何其他成员获得与您开发时完全相同的依赖项树。

（摘自国家预防机制文件）

您提到过将package-lock.json推送到存储库会导致一些问题。我猜这是由于包锁被忽略和重写的问题，每次任何人安装任何东西。这不是正确的行为，根据这个答案，在NPM@5.4.2中得到了修正。

您不应该省略package-lock.json，而只是在package.json中指定确切的版本。如果您这样做，您的顶级依赖项将看起来很好且一致，但它们的依赖项将不会有锁定版本。这样，你就很有可能遇到bug了，但是它们就更难找到了。

（摘自国家预防机制文件）

您可能没有npmpublish对angular webapp进行发布，因此没有理由使用npm-shrinkwrap.json。

我找不到任何文档说插入符号(^)范围是最佳实践，但我相信它们是最佳实践。

总之，标准使用插入符号范围和包-lock.json。这满足了您对固定依赖项的需求，并提供了一些其他好处，因此最好按照标准来做，除非您找到了另一个改变的理由。