Dois-je valider le fichier package-lock.json créé par npm 5?

npm 5 est sorti aujourd'hui et l'une des nouvelles fonctionnalités inclut des installations déterministes avec la création d'un package-lock.jsonfichier.

Ce fichier est-il censé être conservé sous contrôle de code source?

Je suppose que c'est similaire à yarn.locket composer.lock, qui sont tous deux censés rester sous contrôle de source.

Oui, package-lock.jsonest destiné à être vérifié dans le contrôle de code source. Si vous utilisez npm 5, vous pouvez voir ceci sur la ligne de commande: created a lockfile as package-lock.json. You should commit this file.Selon npm help package-lock.json:

package-lock.jsonest généré automatiquement pour toutes les opérations où npm modifie l' node_modulesarborescence ou package.json. Il décrit l'arborescence exacte qui a été générée, de sorte que les installations suivantes peuvent générer des arborescences identiques, indépendamment des mises à jour de dépendance intermédiaires.

Ce fichier est destiné à être validé dans les référentiels sources et sert à diverses fins:

• Décrivez une représentation unique d'une arborescence de dépendances telle que les coéquipiers, les déploiements et l'intégration continue sont garantis pour installer exactement les mêmes dépendances.

• Fournir aux utilisateurs la possibilité de "voyager dans le temps" vers les états précédents node_modulessans avoir à valider le répertoire lui-même.

• Pour faciliter une meilleure visibilité des changements d'arbre grâce à des différences de contrôle de source lisibles.

• Et optimisez le processus d'installation en permettant à npm d'ignorer les résolutions de métadonnées répétées pour les packages précédemment installés.

Un détail clé package-lock.jsonest qu'il ne peut pas être publié, et il sera ignoré s'il est trouvé ailleurs que dans le package de niveau supérieur. Il partage un format avec npm-shrinkwrap.json (5), qui est essentiellement le même fichier, mais permet la publication. Ceci n'est pas recommandé, sauf si vous déployez un outil CLI ou utilisez le processus de publication pour produire des packages de production.

Si les deux package-lock.jsonet npm-shrinkwrap.jsonsont présents à la racine d'un package, package-lock.jsonseront complètement ignorés.

Oui, il est destiné à être enregistré. Je veux suggérer qu'il obtient son propre commit unique. Nous constatons que cela ajoute beaucoup de bruit à nos diffs.

Oui tu devrais:

1. valider le package-lock.json.
2. utiliser npm ciau lieu denpm install lors de la création de vos applications sur votre CI et votre machine de développement locale

Le npm ciworkflow nécessite l'existence d'un package-lock.json.

Un gros inconvénient de la npm installcommande est son comportement inattendu qui peut muter package-lock.json, alors qu'il npm cin'utilise que les versions spécifiées dans le fichier de verrouillage et produit une erreur

• si package-lock.jsonet ne package.jsonsont pas synchronisés
• s'il package-lock.jsonmanque un.

Par conséquent, fonctionnant npm installlocalement, esp. dans des équipes plus grandes avec plusieurs développeurs, cela peut conduire à de nombreux conflits au sein du package-lock.jsonet les développeurs peuvent décider de supprimer complètement le à la package-lock.jsonplace.

Pourtant, il existe un cas d'utilisation solide pour pouvoir croire que les dépendances du projet se résolvent de manière répétée et fiable sur différentes machines.

D'un package-lock.jsonvous obtenez exactement cela: un état connu pour fonctionner.

Dans le passé, j'avais des projets sans package-lock.json/ npm-shrinkwrap.json/ yarn.lockfichiers dont la construction échouait un jour parce qu'une dépendance aléatoire avait une mise à jour de rupture.

Ces problèmes sont difficiles à résoudre car vous devez parfois deviner quelle était la dernière version de travail.

Si vous souhaitez ajouter une nouvelle dépendance, vous exécutez toujours npm install {dependency}. Si vous souhaitez mettre à niveau, utilisez soit npm update {dependency}ou npm install ${dependendency}@{version}et validez la modification package-lock.json.

Si une mise à niveau échoue, vous pouvez revenir au dernier fonctionnement connu package-lock.json.

Pour citer npm doc :

Il est fortement recommandé de valider le verrouillage du package généré au contrôle de code source: cela permettra à toute autre personne de votre équipe, à vos déploiements, à votre intégration continue / CI et à toute autre personne qui exécute l'installation npm dans votre source de package d'obtenir la même arborescence de dépendances exacte. que vous développiez. De plus, les différences de ces changements sont lisibles par l'homme et vous informeront de toutes les modifications que npm a apportées à vos node_modules, vous pouvez donc remarquer si des dépendances transitives ont été mises à jour, hissées, etc.

Et en ce qui concerne la différence entre npm civsnpm install :

• Le projet doit avoir un package-lock.json ou npm-shrinkwrap.json existant.
• Si les dépendances dans le verrou de package ne correspondent pas à celles dans package.json, se npm citerminera avec une erreur, au lieu de mettre à jour le verrou de package.
• npm ci ne peut installer que des projets entiers à la fois: les dépendances individuelles ne peuvent pas être ajoutées avec cette commande.
• Si un node_modulesest déjà présent, il sera automatiquement supprimé avant de npm cicommencer son installation.
• Il n'écrira jamais package.jsonni sur aucun des verrous de package: les installations sont essentiellement gelées.

Remarque: j'ai posté une réponse similaire ici

Oui, la meilleure pratique consiste à s'enregistrer (OUI, ENREGISTREMENT)

Je suis d'accord que cela causera beaucoup de bruit ou de conflit en voyant la différence. Mais les avantages sont:

1. garantir exactement la même version de chaque paquet . Cette partie est la plus importante lors de la construction dans différents environnements à différents moments. Vous pouvez l'utiliser ^1.2.3dans votre package.json, mais comment pouvez-vous vous assurer que chaque fois npm installrécupérera la même version sur votre machine de développement et sur le serveur de build, en particulier ces packages de dépendance indirecte? Eh bien, package-lock.jsonje m'en assurerai. (À l'aide de npm cilaquelle installe des packages basés sur le fichier de verrouillage)
2. il améliore le processus d'installation.
3. cela aide avec la nouvelle fonctionnalité d'audit npm audit fix(je pense que la fonctionnalité d'audit est de npm version 6).

Je ne valide pas ce fichier dans mes projets. À quoi ça sert ?

1. Il est généré
2. C'est la cause d'une erreur d'intégrité du code SHA1 dans gitlab avec les builds gitlab-ci.yml

Bien qu'il soit vrai que je n'utilise jamais ^ dans mon package.json pour les bibliothèques car j'ai eu de mauvaises expériences avec.

Aux personnes qui se plaignent du bruit en faisant git diff:

git diff -- . ':(exclude)*package-lock.json' -- . ':(exclude)*yarn.lock'

J'ai utilisé un alias:

alias gd="git diff --ignore-all-space --ignore-space-at-eol --ignore-space-change --ignore-blank-lines -- . ':(exclude)*package-lock.json' -- . ':(exclude)*yarn.lock'"

Pour ignorer package-lock.json dans diffs pour l'ensemble du référentiel (tous ceux qui l'utilisent), vous pouvez ajouter ceci à .gitattributes:

package-lock.json binary
yarn.lock binary

Cela se traduira par des différences qui affichent "les fichiers binaires a / package-lock.json et b / package-lock.json diffèrent chaque fois que le fichier de verrouillage du package a été modifié. De plus, certains services Git (notamment GitLab, mais pas GitHub) excluront également ces fichiers (plus de 10 000 lignes modifiées!) des diffs lors de la visualisation en ligne en faisant cela.

Oui, vous pouvez valider ce fichier. Extrait des documents officiels du npm :

package-lock.jsonest généré automatiquement pour toutes les opérations où npmmodifie l’ node_modulesarborescence ou package.json. Il décrit l'arborescence exacte qui a été générée, de sorte que les installations suivantes peuvent générer des arborescences identiques, indépendamment des mises à jour de dépendance intermédiaires.

Ce fichier est destiné à être validé dans les référentiels sources [.]

Désactiver globalement package-lock.json

tapez ce qui suit dans votre terminal:

npm config set package-lock false

ça marche vraiment pour moi comme par magie

Oui, c'est une pratique standard pour valider package-lock.json

La principale raison de la validation de package-lock.json est que tout le monde dans le projet est sur la même version de package.

Avantages:-

• Si vous suivez un contrôle de version strict et que vous ne permettez pas la mise à jour vers les versions majeures automatiquement pour vous éviter les modifications incompatibles en amont dans les packages tiers, la validation du verrouillage de package est très utile.
• Si vous mettez à jour un package particulier, il est mis à jour dans package-lock.json et tous les utilisateurs du référentiel sont mis à jour vers cette version particulière lorsqu'ils prennent la traction de vos modifications.

Les inconvénients:-

• Cela peut rendre vos demandes de pull moche :) '

Edit: - npm install ne s'assurera pas que tout le monde dans le projet est sur la même version de package. npm ci vous y aidera.

Mon utilisation de npm est de générer des css / js minifiés / uglifiés et de générer le javascript nécessaire dans les pages servies par une application django. Dans mes applications, Javascript s'exécute sur la page pour créer des animations, parfois effectuer des appels ajax, travailler dans un framework VUE et / ou travailler avec le css. Si package-lock.json a un certain contrôle sur ce qui se trouve dans package.json, il peut être nécessaire qu'il existe une version de ce fichier. D'après mon expérience, cela n'affecte pas ce qui est installé par npm install, ou si c'est le cas, cela n'a pas affecté à ce jour les applications que je déploie à ma connaissance. Je n'utilise pas mongodb ou d'autres applications similaires qui sont traditionnellement des clients légers.

Je supprime package-lock.json du référentiel car l'installation de npm génère ce fichier et l'installation de npm fait partie du processus de déploiement sur chaque serveur qui exécute l'application. Le contrôle de version du nœud et de npm se fait manuellement sur chaque serveur, mais je fais attention à ce qu'ils soient les mêmes.

Lorsqu'il npm installest exécuté sur le serveur, il modifie package-lock.json, et s'il y a des modifications dans un fichier enregistré par le référentiel sur le serveur, le prochain déploiement WONT vous permet d'extraire de nouvelles modifications de l'origine. Autrement dit, vous ne pouvez pas déployer, car l'extraction écrasera les modifications apportées à package-lock.json.

Vous ne pouvez même pas écraser un package-lock.json généré localement avec ce qui est sur le référentiel (réinitialiser le maître d'origine dur), car npm se plaindra chaque fois que vous émettez une commande si le package-lock.json ne reflète pas ce qui se trouve dans node_modules en raison de l'installation de npm, interrompant ainsi le déploiement. Maintenant, si cela indique que des versions légèrement différentes ont été installées dans node_modules, encore une fois cela ne m'a jamais posé de problème.

Si node_modules n'est pas sur votre dépôt (et il ne devrait pas l'être), alors package-lock.json doit être ignoré.

Si je manque quelque chose, corrigez-moi dans les commentaires, mais le fait que la version est extraite de ce fichier n'a aucun sens. Le fichier package.json contient des numéros de version, et je suppose que ce fichier est celui utilisé pour créer des packages lorsque l'installation de npm se produit, car lorsque je le supprime, l'installation de npm se plaint comme suit:

jason@localhost:introcart_wagtail$ rm package.json
jason@localhost:introcart_wagtail$ npm install
npm WARN saveError ENOENT: no such file or directory, open '/home/jason/webapps/introcart_devtools/introcart_wagtail/package.json'

et la construction échoue, cependant lors de l'installation de node_modules ou de l'application de npm pour construire js / css, aucune plainte n'est faite si je supprime package-lock.json

jason@localhost:introcart_wagtail$ rm package-lock.json 
jason@localhost:introcart_wagtail$ npm run dev

> introcart@1.0.0 dev /home/jason/webapps/introcart_devtools/introcart_wagtail
> NODE_ENV=development webpack --progress --colors --watch --mode=development

 10% building 0/1 modules 1 active ...