“Npm install” neden package-lock.json dosyasını yeniden yazıyor?

Yakın zamanda npm @ 5'e geçtim . Şimdi package.json'dan her şeyi içeren bir package-lock.json dosyası var . Çalıştırdığımda , bağımlılık sürümlerinin kilit dosyamdan node_modules dizinime ne yüklenmesi gerektiğini belirlemek için çekileceğini tahmin ediyorum . Garip olan şey aslında package-lock.json dosyamı değiştirip yeniden yazması .npm install

Örneğin, kilit dosyasının 2.1.6 sürümünde belirtilmiş bir dakikası vardı . Ardından, npm installkomuttan sonra sürüm 2.4.1 olarak değiştirildi . Bu bir kilit dosyasının tüm amacını yendi gibi görünüyor.

Neyi kaçırıyorum? Npm'nin kilit dosyama gerçekten saygı duymasını nasıl sağlayabilirim?

Güncelleme 3: Diğer cevapların da işaret ettiği gibi, npm cikomut CI bağlamında hızlı ve tekrarlanabilir yapılar elde etmenin ek yolu olarak npm 5.7.0'da eklenmiştir. Daha fazla bilgi için dokümantasyon ve npm bloguna bakın.

Güncelleme 2: Belgeleri güncelleme ve netleştirme sorunu GitHub sorunu # 18103'tür .

Güncelleştirme 1: Aşağıda açıklanan davranış npm 5.4.2'de düzeltildi: Şu anda amaçlanan davranış GitHub sayısı # 17979'da özetlenmiştir .

Orijinal cevap: # 16866package-lock.json numaralı makalede tartışıldığı gibi npm 5.1.0'daki davranışı değiştirildi . Gözlemlediğiniz davranış, görünüşte 5.1.0 sürümünden itibaren npm tarafından tasarlanmıştır.

Bu , bağımlılık için daha yeni bir sürüm bulunduğunda package.jsongeçersiz package-lock.jsonkılınabileceği anlamına gelir package.json. Bağımlılıklarınızı etkili bir şekilde sabitlemek istiyorsanız, şimdi sürümleri önek olmadan belirtmeniz gerekir; örneğin, veya 1.2.0yerine yazmanız gerekir . Daha sonra tekrarlanabilir yapıların kombinasyonu ve verimi olacaktır. Açık olmak gerekirse: artık tek başına kök seviyesi bağımlılıklarını kilitlemez!~1.2.0^1.2.0package.jsonpackage-lock.jsonpackage-lock.json

Bu tasarım kararının iyi olup olmadığı tartışmalıdır, # 17979 numaralı sorundaki GitHub'daki bu karışıklıktan kaynaklanan sürekli bir tartışma vardır . (Benim gözümde tartışmalı bir karardır; en azından isim lockartık geçerli değil.)

Bir yan not daha: değişmez paketleri desteklemeyen kayıtlar için bir kısıtlama var, örneğin paketleri npmjs.org yerine doğrudan GitHub'dan çektiğinizde. Daha fazla açıklama için paket kilitlerinin bu belgelerine bakın .

Ben NPM yeni bir sürümü olacağı bulduk 5.7.1 yeni komut ile npm cigelen kuracak, package-lock.jsonsadece

Yeni npm ci komutu SADECE kilit dosyanızdan yüklenir. Package.json ve kilit dosyanız senkronize değilse, bir hata bildirir.

Düğüm_modüllerinizi atarak ve sıfırdan yeniden yaratarak çalışır.

Sadece bir kilit_modülünüzle başlamadığınızda, kilit dosyanızdaki içeriği sadece npm kurulumundan daha hızlı (2x-10x!) Alacağınızı garanti etmenin ötesinde.

Adından da anlaşılacağı gibi, sürekli entegrasyon ortamları için büyük bir nimet olmasını bekliyoruz. Ayrıca git etiketlerinden üretim dağıtımı yapan kişilerin büyük kazançlar elde etmesini bekliyoruz.

Yeni tanıtılanları kullanın

npm ci

npm ci büyük takımlara en fazla faydayı vaat ediyor. Geliştiricilere bir paket kilidinde "çıkış yapma" olanağı vermek, büyük ekipler arasında daha verimli işbirliğini teşvik eder ve bir kilit dosyasında tam olarak ne olduğunu yükleme yeteneğinin ayda yüzlerce geliştirici saati olmasa bile onlarca tasarruf etme potansiyeli vardır. harika şeyler oluşturmak ve göndermek için daha fazla zaman harcamak.

Tanıtımı npm cidaha güvenilir kurar, daha hızlı

Kısa cevap:

• npm install package-lock.json'u yalnızca package.json gereksinimlerini karşılarsa onurlandırır.
• Bu gereksinimleri karşılamıyorsa, paketler güncellenir ve paket kilidinin üzerine yazılır.
• Derlemede başarısız olursanız, bu durumda paket kilidini yeniden yazmak yerine kullanın npm ci.

İşte olayları açıklayabilecek bir senaryo (NPM 6.3.0 ile doğrulandı)

Package.json içinde bir bağımlılık beyan ediyorsunuz:

"depA": "^1.0.0"

Sonra, npm installbir package-lock.json oluşturacak olan:

"depA": "1.0.0"

Birkaç gün sonra, "1.1.0" deyince "depA" nın daha yeni bir küçük sürümü yayınlandı.

npm ci       # respects only package-lock.json and installs 1.0.0

npm install  # also, respects the package-lock version and keeps 1.0.0 installed 
             # (i.e. when package-lock.json exists, it overrules package.json)

Ardından, package.json'unuzu manuel olarak şu şekilde güncellersiniz:

"depA": "^1.1.0"

Sonra tekrar çalıştırın:

npm ci      # will try to honor package-lock which says 1.0.0
            # but that does not satisfy package.json requirement of "^1.1.0" 
            # so it would throw an error 

npm install # installs "1.1.0" (as required by the updated package.json)
            # also rewrites package-lock.json version to "1.1.0"
            # (i.e. when package.json is modified, it overrules the package-lock.json)

Kullanım npm ciyerine komutu npm install.

"ci", "sürekli entegrasyon" anlamına gelir.

Proje bağımlılıklarını lenient package.json dosya bağımlılıkları yerine package-lock.json dosyasına göre kurar.

Takım arkadaşlarınıza özdeş yapılar üretecek ve aynı zamanda çok daha hızlı.

Bu blog yayınında daha fazla bilgi bulabilirsiniz: https://blog.npmjs.org/post/171556855892/introducing-npm-ci-for-faster-more-reliable

Gelecekte, bir kullanmak mümkün olacak --from-lock-fileyüklemek için (veya benzeri) bayrağı sadece dan package-lock.jsondeğiştirmeden.

Bu, tekrarlanabilir yapıların önemli olduğu CI, vb. Ortamlar için faydalı olacaktır.

Özelliğin izlenmesi için bkz. Https://github.com/npm/npm/issues/18286 .

Bu sorun npm v5.4.2'de giderilmiş gibi görünüyor

https://github.com/npm/npm/issues/17979

(İleti dizisindeki son yoruma gidin)

Güncelleme

Aslında 5.6.0'da düzeltildi. 5.4.2'de sorunun hala oluşmasına neden olan bir çapraz platform hatası vardı.

https://github.com/npm/npm/issues/18712

Güncelleme 2

Cevabımı buraya bakın: https://stackoverflow.com/a/53680257/1611058

npm ci şu anda mevcut projeleri kurarken kullanmanız gereken komuttur.

Muhtemelen şöyle bir şey var:

"typescript":"~2.1.6"

senin içinde package.jsonhangi durumda varlık içinde, son alt sürümüne güncellemelerini NPM2.4.1

Düzenleme: OP'den soru

Ancak bu "npm install" in neden kilit dosyasını değiştireceğini açıklamaz. Kilit dosyası yeniden oluşturulabilir bir yapı oluşturmak anlamına gelmiyor mu? Öyleyse, semver değerinden bağımsız olarak, yine de aynı 2.1.6 sürümünü kullanmalıdır.

Cevap:

Bu, tam bağımlılık ağacınızı kilitlemek için tasarlanmıştır. Diyelim ki typescript v2.4.1gerektirir widget ~v1.0.0. Ne zaman npm yüklemek zaman kapmak widget v1.0.0. Daha sonra geliştirici (veya CI derlemesi) npm kurulumu yapar ve alır typescript v2.4.1ancak widgetgüncellendi widget v1.0.1. Artık düğüm modülünüz senkronize değil. Bunu package-lock.jsonengelleyen budur.

Veya daha genel olarak:

Örnek olarak,

paket A:

{"name": "A", "version": "0.1.0", "bağımlılıklar": {"B": "<0.1.0"}}

paket B:

{"name": "B", "version": "0.0.1", "bağımlılıklar": {"C": "<0.1.0"}}

ve paket C:

{"ad": "C", "sürüm": "0.0.1"}

Bunlar kayıt defterinde bulunan A, B ve C'nin yalnızca sürümleri ise, normal bir npm yükleme A yüklenir:

A@0.1.0 - B@0.0.1 - C@0.0.1

Ancak, B@0.0.2 yayınlanmışsa, yeni bir npm kurulumu A yüklenecektir:

A@0.1.0 - B@0.0.2 - C@0.0.1 yeni versiyonun B'nin bağımlılıklarını değiştirmediğini varsayarsak. Elbette, B'nin yeni sürümü C'nin yeni bir sürümünü ve herhangi bir sayıda yeni bağımlılığı içerebilir. Bu tür değişiklikler istenmezse, A'nın yazarı B@0.0.1'e bir bağımlılık belirtebilir. Ancak, A'nın yazarı ve B'nin yazarı aynı kişi değilse, A'nın yazarının, B hiç değişmediği zaman C'nin yeni yayınlanan sürümlerini çekmek istemediğini söylemesinin bir yolu yoktur.

OP Soru 2: Doğru anladığımı göreyim. Söylediğiniz şey, kilit dosyasının ikincil bağımlılıkların sürümlerini belirtmesidir, ancak yine de üst düzey bağımlılıkları belirlemek için package.json'un bulanık eşleşmesine dayanır. Bu doğru mu?

Cevap: Hayır. Package-lock, tanımlanan kök paketleri de dahil olmak üzere tüm paket ağacını kilitler package.json. Eğer typescriptkilitli 2.4.1Gözlerinde farklı package-lock.jsono değiştirilene kadar, bu şekilde kalmalıdır. Ve diyelim yarın typescriptsürüm yayınlanacak 2.4.2. npm installŞubenizi kontrol edip çalıştırırsam , npm kilit dosyasına saygı duyar ve yükler 2.4.1.

Daha fazlası package-lock.json:

package-lock.json, npm'nin node_modules ağacını veya package.json dosyasını değiştirdiği tüm işlemler için otomatik olarak oluşturulur. Oluşturulan tam ağacı açıklar, böylece sonraki yüklemeler ara bağımlılık güncellemelerinden bağımsız olarak aynı ağaçları üretebilir.

Bu dosya kaynak depolarına ayrılmak üzere tasarlanmıştır ve çeşitli amaçlara hizmet eder:

Bir bağımlılık ağacının tek bir temsilini açıklayın, böylece takım arkadaşları, konuşlandırmalar ve sürekli entegrasyon tam olarak aynı bağımlılıkları kuracak.

Kullanıcılara, dizinin kendisini işlemek zorunda kalmadan önceki node_modules durumlarına "zaman yolculuğu" yapma olanağı sağlayın.

Okunabilir kaynak kontrol farkları ile ağaç değişikliklerinin daha iyi görünmesini kolaylaştırmak için.

Ve npm'in önceden yüklenmiş paketler için tekrarlanan meta veri çözünürlüklerini atlamasına izin vererek kurulum işlemini optimize edin.

https://docs.npmjs.com/files/package-lock.json

Muhtemelen böyle bir şey kullanmalısın

npm ci

npm install Paketinizin sürümünü değiştirmek istemiyorsanız kullanmak yerine .

Resmi belgelere göre her iki npm installve npm ciproje için gerekli olan bağımlılıklarını yükleyin.

Temel fark, referans olarak npm installpaketleri kurmasıdır packge.json. Bu durumda, her bir paketin tam olarak kurulduğundan emin olarak, referans npm cialarak paketleri kurar package-lock.json.

Bunun github sayfalarında açık bir sorun var: https://github.com/npm/npm/issues/18712

Bu sorun, geliştiriciler farklı işletim sistemleri kullandıklarında çok ciddidir.

EDIT: "kilit" adı zor bir, NPM İplik yakalamaya çalışıyor. Kilitli bir dosya değil. package.json"sabitlendiğinde" node_modules klasör ağacı oluşturacak ve daha sonra bu ağaç yazılacaktır package-lock.json. Görüyorsunuz, bu tam tersi - bağımlılık sürümleri package.jsonher zamanki gibi package-lock.jsonçekilecek ve çağrılmalıdırpackage-tree.json

(umarım bu benim cevabımı daha açık yorumlardan sonra netleştirmiştir)

Basit bir cevap: package.jsonher zamanki gibi bağımlılıklarınız olsun package-lock.json, "kesin ve daha da önemlisi tekrarlanabilir bir düğüm_modüller ağacı" dır ( npm belgelerinin kendisinden alınır ).

Zor adı gelince, NPM İplik yakalamaya çalışıyor.