Qual é a diferença entre npm-shrinkwrap.json e package-lock.json?

Com o lançamento do npm @ 5 , ele escreverá um a package-lock.jsonmenos que npm-shrinkwrap.jsonjá exista.

Instalei o npm @ 5 globalmente via:

npm install npm@5 -g

E agora, se um npm-shrinkwrap.jsonfor encontrado durante:

npm install

um aviso será impresso:

npm WARN read-shrinkwrap This version of npm
is compatible with lockfileVersion@1,
but npm-shrinkwrap.json was generated for lockfileVersion@0.
I'll try to do my best with it!

Então, minha opinião é que eu deveria substituir o papel termo-retrátil pelo package-lock.json.

No entanto, por que existe um novo formato para isso? O que pode package-lock.jsonfazer o que npm-shrinkwrap.jsonnão pode?

Os arquivos têm exatamente o mesmo conteúdo, mas há algumas diferenças em como o npm lida com eles, descritas no site docs e também em um arquivo doc no repositório npm que começa abordando explicitamente a diferença entre esses dois arquivos :

• package-lock.jsonnunca é publicado para npm, enquanto npm-shrinkwrapé por padrão
• package-lock.json arquivos que não estão no pacote de nível superior são ignorados, mas os arquivos shrinkwrap pertencentes às dependências são respeitados
• npm-shrinkwrap.jsoné compatível com versões anteriores das npm 2, 3 e 4, enquanto package-lock.jsoné reconhecido apenas pela npm 5+

Você pode converter um existente package-lock.jsonem um npm-shrinkwrap.jsonexecutando npm shrinkwrap.

Portanto:

• Se você não está publicando seu pacote no npm, a escolha entre esses dois arquivos é de pouca importância. Você pode usar package-lock.jsonporque é o padrão e seu nome é mais claro para iniciantes no npm; Como alternativa, convém usar npm-shrinkwrap.jsona compatibilidade com as npm 2-4, se for difícil garantir que todos da sua equipe de desenvolvimento estejam com as npm 5+. (Observe que o npm 5 foi lançado em 25 de maio de 2017; a compatibilidade com versões anteriores se tornará cada vez menos importante à medida que avançarmos a partir dessa data, pois a maioria das pessoas fará o upgrade.)

• Se você estiver publicando seu pacote no npm, poderá escolher entre:

  1. usando a package-lock.jsonpara registrar exatamente quais versões de dependências você instalou, mas permitindo que as pessoas que instalam seu pacote usem qualquer versão das dependências que seja compatível com os intervalos de versão ditados pelo seu package.json, ou
  2. usando um npm-shrinkwrap.jsonpara garantir que todos que instalam seu pacote obtenham exatamente a mesma versão de todas as dependências

  
  A visão oficial descrita (muito detalhadamente) nos documentos é que a opção 1 deve ser usada para bibliotecas (presumivelmente para reduzir a quantidade de duplicação de pacotes causada quando muitas dependências de um pacote dependem de versões ligeiramente diferentes da mesma dependência secundária) , mas essa opção 2 pode ser razoável para os executáveis ​​que serão instalados globalmente.

Explicação do NPM Developer :

A idéia é definitivamente que o package-lock.json seja o mais recente e o melhor em tecnologia shrinkwrap, e o npm-shrinkwrap.json seja reservado para aquelas pessoas preciosas por aí que se preocupam muito com suas bibliotecas com um node_modules exato - e para pessoas que desejam que o IC usando o npm @> = 2 instale uma árvore específica sem precisar aumentar a versão do npm.

O novo arquivo de bloqueio ("package-lock.json") compartilha basicamente todo o mesmo código, exatamente o mesmo formato que npm-shrinkwrap (você pode renomeá-los entre si!). Também é algo que a comunidade parece entender: "possui um arquivo de bloqueio" parece clicar muito mais rápido com as pessoas. Por fim, ter um novo arquivo significava que poderíamos ter uma compatibilidade retroativa de risco relativamente baixo com o termo retrátil sem precisar fazer coisas estranhas, como permitir a publicação mencionada na postagem principal.

Eu acho que a idéia era ter --save e shrinkwrap acontecendo por padrão, mas evite possíveis problemas com um shrinkwrap acontecendo onde não era desejado. Então, eles apenas deram um novo nome de arquivo para evitar conflitos. Alguém da npm explicou mais detalhadamente aqui:

https://www.reddit.com/r/javascript/comments/6dgnnq/npm_v500_released_save_by_default_lockfile_better/di3mjuk/

A citação relevante:

O npm publica a maioria dos arquivos no diretório de origem por padrão, e as pessoas publicam shrinkwraps há anos. Não queríamos quebrar a compatibilidade. Com --save e shrinkwrap por padrão, havia um grande risco de acidentalmente entrar e propagar pelo registro e basicamente tornar nula nossa capacidade de atualizar deps e dedupe ...

Então escolhemos um novo nome. E escolhemos um novo nome de repente. O novo arquivo de bloqueio compartilha basicamente todo o mesmo código, exatamente o mesmo formato