Dois-je commiter le fichier yarn.lock et à quoi sert-il ?

Question

Yarn crée un fichier yarn.lock après avoir effectué un yarn install.

Cela doit-il être committé dans le dépôt ou ignoré? À quoi sert-il?

Answer 1

Oui, vous devriez le vérifier, voir Migration depuis npm

À quoi cela sert-il?
Le client npm installe les dépendances dans le répertoire node_modules de manière non déterministe. Cela signifie qu'en fonction de l'ordre dans lequel les dépendances sont installées, la structure d'un répertoire node_modules peut être différente d'une personne à l'autre. Ces différences peuvent causer des bugs du type ça fonctionne sur ma machine qui prennent beaucoup de temps à résoudre.

Yarn résout ces problèmes de versionnage et de non-déterminisme en utilisant des fichiers de verrouillage et un algorithme d'installation qui est déterministe et fiable. Ces fichiers de verrouillage fixent les dépendances installées à une version spécifique et garantissent que chaque installation aboutit à la même structure de fichiers exacte dans le répertoire node_modules sur toutes les machines.

Answer 2

Dépend de ce qu'est votre projet :

1. Votre projet est-il une application ? Alors : Oui
2. Votre projet est-il une bibliothèque ? Si oui : Non

Une description plus détaillée de ceci peut être trouvée dans cette question GitHub où l'un des créateurs de Yarn dit par exemple :

Le package.json décrit les versions souhaitées par l'auteur d'origine, tandis que yarn.lock décrit la configuration la plus récente connue pour une application donnée.

Seul le fichier yarn.lock du projet de niveau supérieur sera utilisé. Donc à moins que votre projet soit utilisé de manière autonome et non installé dans un autre projet, il n'est pas utile de commettre un fichier yarn.lock – il reviendra toujours au fichier package.json de transmettre les versions des dépendances que le projet attend.

Answer 3

Je vois qu'il s'agit de deux questions distinctes en une. Laissez-moi répondre à toutes les deux.

Faut-il commettre le fichier dans le dépôt ?

Oui. Comme mentionné dans la réponse de ckuijjer, il est recommandé dans le guide de migration d'inclure ce fichier dans le dépôt. Lisez la suite pour comprendre pourquoi vous devez le faire.

Qu'est-ce que yarn.lock?

C'est un fichier qui stocke les versions exactes des dépendances pour votre projet en même temps que les checksums de chaque paquet. C'est la façon de Yarn d'assurer la cohérence de vos dépendances.

Pour comprendre pourquoi ce fichier est nécessaire, vous devez d'abord comprendre quel était le problème derrière le package.json original de NPM. Lorsque vous installez le paquet, NPM stockera la plage des révisions autorisées d'une dépendance au lieu d'une révision spécifique (semver). NPM essaiera de mettre à jour la dépendance vers la dernière version disponible dans la plage spécifiée (c'est-à-dire des mises à jour de correctifs non rompues). Il y a deux problèmes avec cette approche.

1. Les auteurs de dépendances peuvent publier des mises à jour de version de correctif tout en introduisant en réalité un changement rompant qui affectera votre projet.

2. Deux développeurs exécutant npm install à des moments différents peuvent obtenir des ensembles de dépendances différents. Ce qui peut provoquer un bug qui n'est pas reproductible sur deux environnements exactement identiques. Cela peut causer des problèmes de stabilité de compilation pour les serveurs CI, par exemple.

Yarn, quant à lui, choisit la voie de la plus grande prévisibilité. Il crée le fichier yarn.lock pour sauvegarder les versions de dépendances exactes. En ayant ce fichier en place, Yarn utilisera les versions stockées dans yarn.lock au lieu de résoudre les versions à partir de package.json. Cette stratégie garantit que aucun des problèmes décrits ci-dessus ne se produisent.

yarn.lock est similaire à npm-shrinkwrap.json qui peut être créé par la commande npm shrinkwrap. Consultez cette réponse expliquant les différences entre ces deux fichiers.

Answer 4

Je suppose que oui, car Yarn versionne son propre fichier yarn.lock : https://github.com/yarnpkg/yarn

Il est utilisé pour la résolution déterministe des dépendances des packages.

Answer 5

Oui! yarn.lock doit être vérifié afin que tout développeur qui installe les dépendances obtienne exactement le même résultat! Avec npm [disponible en octobre 2016], par exemple, vous pouvez avoir une version patch (disons 1.2.0) installée localement tandis qu'un nouveau développeur exécutant une nouvelle install pourrait obtenir une version différente (1.2.1).