Confirmo o arquivo package-lock.json criado pelo npm 5?

O npm 5 foi lançado hoje e um dos novos recursos inclui instalações determinísticas com a criação de um package-lock.jsonarquivo.

Esse arquivo deve ser mantido no controle de origem?

Eu estou assumindo que é semelhante ao yarn.locke composer.lock, ambos os quais devem ser mantidos em controle de origem.

Sim, package-lock.jsondeve ser verificado no controle de origem. Se você estiver usando o npm 5, poderá ver isso na linha de comando: created a lockfile as package-lock.json. You should commit this file.De acordo com npm help package-lock.json:

package-lock.jsoné gerado automaticamente para qualquer operação em que o npm modifique a node_modulesárvore ou package.json. Ele descreve a árvore exata que foi gerada, de forma que as instalações subsequentes possam gerar árvores idênticas, independentemente das atualizações intermediárias de dependência.

Este arquivo deve ser confirmado nos repositórios de origem e serve a vários propósitos:

• Descreva uma única representação de uma árvore de dependência, de modo que colegas de equipe, implantações e integração contínua garantam a instalação exatamente das mesmas dependências.

• Forneça um recurso para os usuários "viajarem no tempo" para estados anteriores node_modulessem precisar confirmar o próprio diretório.

• Para facilitar uma maior visibilidade das alterações nas árvores por meio de diferenças de controle de fonte legíveis.

• E otimize o processo de instalação, permitindo que o npm pule resoluções repetidas de metadados para pacotes instalados anteriormente.

Um detalhe importante package-lock.jsoné que ele não pode ser publicado e será ignorado se encontrado em outro local que não seja o pacote de nível superior. Ele compartilha um formato com o npm-shrinkwrap.json (5), que é essencialmente o mesmo arquivo, mas permite a publicação. Isso não é recomendado, a menos que você implemente uma ferramenta CLI ou use o processo de publicação para produzir pacotes de produção.

Se ambos package-lock.jsone npm-shrinkwrap.jsonestiverem presentes na raiz de um pacote, package-lock.jsonserão completamente ignorados.

Sim, o objetivo é fazer check-in. Quero sugerir que ele obtenha seu próprio commit exclusivo. Descobrimos que ele adiciona muito ruído às nossas diferenças.

Sim você deveria:

1. confirmar o package-lock.json.
2. use em npm civez denpm install criar seus aplicativos no seu CI e na sua máquina de desenvolvimento local

O npm cifluxo de trabalho requer a existência de a package-lock.json.

Uma grande desvantagem do npm installcomando é seu comportamento inesperado, que pode sofrer alterações package-lock.json, enquanto npm ciapenas usa as versões especificadas no arquivo de bloqueio e produz um erro

• se o package-lock.jsone package.jsonestiver fora de sincronia
• se um package-lock.jsonestiver faltando.

Portanto, executando npm installlocalmente, esp. em equipes maiores com vários desenvolvedores, pode levar a muitos conflitos entre os package-lock.jsondesenvolvedores e decidirem excluir completamente o package-lock.jsonarquivo.

No entanto, existe um forte caso de uso para poder confiar que as dependências do projeto resolvem repetidamente de maneira confiável em diferentes máquinas.

De um, package-lock.jsonvocê obtém exatamente isso: um estado conhecido pelo trabalho.

No passado, eu tinha projetos sem arquivos package-lock.json/ npm-shrinkwrap.json/ yarn.lockcuja construção falharia um dia porque uma dependência aleatória recebeu uma atualização de última hora.

É difícil resolver esses problemas, pois às vezes você precisa adivinhar qual era a última versão de trabalho.

Se você deseja adicionar uma nova dependência, ainda executa npm install {dependency}. Se você deseja atualizar, use ou npm update {dependency}ou npm install ${dependendency}@{version}confirme a alteração package-lock.json.

Se uma atualização falhar, você poderá reverter para o último trabalho conhecido package-lock.json.

Para citar o npm doc :

É altamente recomendável que você comprometa o bloqueio do pacote gerado no controle de origem: isso permitirá que qualquer outra pessoa em sua equipe, suas implantações, seu IC / integração contínua e qualquer outra pessoa que execute a instalação do npm na sua fonte de pacotes obtenha exatamente a mesma árvore de dependência em que você estava desenvolvendo. Além disso, as diferenças dessas alterações são legíveis por humanos e o informarão sobre quaisquer alterações feitas pelo npm em seus node_modules, para que você possa observar se alguma dependência transitiva foi atualizada, içada, etc.

E no que diz respeito à diferença entre npm civsnpm install :

• O projeto deve ter um pacote-lock.json ou npm-shrinkwrap.json existente.
• Se as dependências no bloqueio do pacote não corresponderem às do package.json, npm cisairá com um erro, em vez de atualizar o bloqueio do pacote.
• npm ci pode instalar projetos inteiros por vez: dependências individuais não podem ser adicionadas com este comando.
• Se um node_modulesjá estiver presente, ele será removido automaticamente antes do npm ciinício da instalação.
• Ele nunca gravará em package.jsonou nenhum dos bloqueios de pacotes: as instalações são essencialmente congeladas.

Nota: Eu publiquei uma resposta semelhante aqui

Sim, a melhor prática é fazer o check-in (SIM, CHECK-IN)

Concordo que causará muito barulho ou conflito ao ver o diff. Mas os benefícios são:

1. garantir exatamente a mesma versão de cada pacote . Esta parte é a mais importante ao construir em ambientes diferentes em momentos diferentes. Você pode usar ^1.2.3no seu package.json, mas como você pode garantir que cada vez npm installescolha a mesma versão em sua máquina de desenvolvimento e no servidor de compilação, especialmente aqueles pacotes de dependência indireta? Bem, package-lock.jsongarantirá isso. (Com a ajuda de npm cique instala pacotes com base no arquivo de bloqueio)
2. melhora o processo de instalação.
3. ajuda com o novo recurso de auditoria npm audit fix(acho que o recurso de auditoria é da npm versão 6).

Não comprometo este arquivo nos meus projetos. Qual é o objetivo?

1. É gerado
2. É a causa de um erro de integridade do código SHA1 no gitlab com as compilações gitlab-ci.yml

Embora seja verdade que eu nunca usei ^ no meu package.json para bibliotecas porque tive experiências ruins com ele.

Para as pessoas reclamando do barulho ao fazer git diff:

git diff -- . ':(exclude)*package-lock.json' -- . ':(exclude)*yarn.lock'

O que eu fiz foi usar um alias:

alias gd="git diff --ignore-all-space --ignore-space-at-eol --ignore-space-change --ignore-blank-lines -- . ':(exclude)*package-lock.json' -- . ':(exclude)*yarn.lock'"

Para ignorar o package-lock.json no diffs para todo o repositório (todos os que o usam), você pode adicioná-lo ao .gitattributes :

package-lock.json binary
yarn.lock binary

Isso resultará em diferenças que mostram "Os arquivos binários a / package-lock.json eb / package-lock.json diferem sempre que o arquivo de bloqueio do pacote é alterado. Além disso, alguns serviços Git (principalmente o GitLab, mas não o GitHub) também excluem esses arquivos (não são mais de 10 mil linhas alteradas!) das diferenças ao exibir on-line ao fazer isso.

Sim, você pode confirmar este arquivo. Dos documentos oficiais da NPM :

package-lock.jsoné gerado automaticamente para qualquer operação em que npmmodifique a node_modulesárvore ou package.json. Ele descreve a árvore exata que foi gerada, de forma que as instalações subsequentes possam gerar árvores idênticas, independentemente das atualizações intermediárias de dependência.

Este arquivo deve ser confirmado nos repositórios de origem [.]

Desativar globalmente o package-lock.json

digite o seguinte em seu terminal:

npm config set package-lock false

isso realmente funciona para mim como mágica

Sim, é uma prática padrão confirmar o pacote-lock.json

O principal motivo para confirmar o pacote-lock.json é que todos no projeto estão na mesma versão do pacote.

Prós: -

• Se você segue o controle de versão estrito e não permite que a atualização para as versões principais automaticamente se salve de alterações incompatíveis com versões anteriores em pacotes de terceiros que cometerem o bloqueio de pacotes, isso ajuda bastante.
• Se você atualizar um pacote específico, ele será atualizado no package-lock.json e todos os usuários do repositório serão atualizados para essa versão específica quando receberem as alterações.

Contras: -

• Pode fazer com que suas solicitações pull sejam feias :) '

Edit: - O npm install não garante que todos no projeto estejam na mesma versão do pacote. O npm ci ajudará com isso.

Meu uso do npm é gerar css / js minificado / uglificado e gerar o javascript necessário nas páginas atendidas por um aplicativo django. Nos meus aplicativos, o Javascript é executado na página para criar animações, às vezes executar chamadas ajax, trabalhar dentro de uma estrutura VUE e / ou trabalhar com o css. Se o package-lock.json tiver algum controle sobre o conteúdo do package.json, poderá ser necessário que exista uma versão desse arquivo. Na minha experiência, isso não afeta o que é instalado pelo npm install ou, se o fizer, não afetou de maneira adversa os aplicativos que implanto para o meu conhecimento. Eu não uso mongodb ou outros aplicativos que são tradicionalmente thin client.

Eu removo o package-lock.json do repo porque o npm install gera esse arquivo e o npm install faz parte do processo de implantação em cada servidor que executa o aplicativo. O controle de versão do nó e do npm é feito manualmente em cada servidor, mas tenho o cuidado de que eles sejam iguais.

Quando npm installé executado no servidor, ele altera o package-lock.json e, se houver alterações em um arquivo que é registrado pelo repositório no servidor, a próxima implantação WONT permitirá que você obtenha novas alterações da origem. Ou seja, você não pode implantar porque a solicitação substituirá as alterações feitas no package-lock.json.

Você não pode sobrescrever um package-lock.json gerado localmente pelo que está no repositório (redefinir o hard origin master), pois o npm reclamará sempre que você emitir um comando se o package-lock.json não refletir o que está em node_modules devido à instalação do npm, interrompendo a implementação. Agora, se isso indica que versões ligeiramente diferentes foram instaladas no node_modules, mais uma vez isso nunca me causou problemas.

Se node_modules não estiver no seu repositório (e não deveria estar), o package-lock.json deve ser ignorado.

Se estiver faltando alguma coisa, corrija-me nos comentários, mas o ponto em que o versionamento é retirado desse arquivo não faz sentido. O arquivo package.json possui números de versão, e presumo que esse arquivo seja o usado para criar pacotes quando a instalação do npm ocorre, como quando eu o removo, o npm install reclama da seguinte maneira:

jason@localhost:introcart_wagtail$ rm package.json
jason@localhost:introcart_wagtail$ npm install
npm WARN saveError ENOENT: no such file or directory, open '/home/jason/webapps/introcart_devtools/introcart_wagtail/package.json'

e a construção falhar, no entanto, ao instalar o node_modules ou ao aplicar o npm para construir o js / css, nenhuma reclamação será feita se eu remover o package-lock.json

jason@localhost:introcart_wagtail$ rm package-lock.json 
jason@localhost:introcart_wagtail$ npm run dev

> introcart@1.0.0 dev /home/jason/webapps/introcart_devtools/introcart_wagtail
> NODE_ENV=development webpack --progress --colors --watch --mode=development

 10% building 0/1 modules 1 active ...