Ai-je besoin à la fois de package-lock.json et de package.json ?

Question

Après avoir mis à jour mon NPM à la dernière version (de 3.X à 5.2.0) et exécuté npm install sur un projet existant, j'obtiens un fichier auto-créé. package-lock.json archivo.

Je peux dire package-lock.json me donne un arbre de dépendances exact, contrairement à package.json .

D'après cette seule information, il semble que package.json est redondant et n'est plus nécessaire.

Ces deux éléments sont-ils nécessaires pour que le NPM fonctionne ?
Est-il possible ou sûr d'utiliser uniquement le package-lock.json fichier ?

La documentation sur package-lock.json ( doc1 , doc2 ) ne mentionne rien à ce sujet.

Editar :

Après avoir réfléchi un peu plus, je suis arrivé à la conclusion que si quelqu'un veut utiliser votre projet avec une version plus ancienne de NPM (avant 5.x), il installera quand même toutes les dépendances, mais avec des versions moins précises (versions de patch)

Answer 1

Avez-vous besoin des deux package-lock.json y package.json ? No .

Avez-vous besoin de la package.json ? Oui .

Peut-on avoir un projet avec seulement le package-lock.json ? No .

Le site package.json est utilisé pour d'autres choses que les dépendances - comme la définition des propriétés du projet, la description, les informations sur l'auteur et la licence, les scripts, etc. Le site package-lock.json est uniquement utilisé pour verrouiller les dépendances à un numéro de version spécifique.

Answer 2

package-lock.json : enregistre la version exacte de chaque paquet installé, ce qui vous permet de les réinstaller. Les installations futures seront capables de construire un arbre de dépendances identique.

package.json : enregistre la version minimale dont votre application a besoin. Si vous mettez à jour les versions d'un paquet particulier, le changement ne sera pas reflété ici.

Answer 3

 Package.json vs Package.lock.json

Answer 4

Si votre question est de savoir si le fichier de verrouillage doit être validé dans votre contrôle de source - il doit l'être. Il sera ignoré dans certaines circonstances.

J'ai trouvé que cela gonflait les pull requests et l'historique des commit, donc si vous voyez un changement, faites un commit séparé pour celui-ci.

Answer 5

Une explication plus précise et plus détaillée de la raison pour laquelle il faut conserver le fichier package-lock.json peut être trouvée dans le document suivant aquí