package.json详解以及package-lock.json的作用

2023-07-27 16:40:52

一、创建 package.json
输入如下命令之后，会要求填写基本的配置信息，这里，我们选择一路回车即可，待生成 package.json 文件之后，再来配置。

npm init

二、配置 package.json

{

  // 包的名称

  "name": "sg-utils",

  // 包的版本号

  "version": "1.4.6",

  // 包的描述

  "description": "javascript通用工具类",

  // 包的入口文件

  "main": "index.js",

  // 上传npm的白名单，即被允许上传的文件

  "files": [

    "src",

    "demo",

    "index.js"

  ],

  // 指定了运行脚本命令的npm命令行缩写

  "scripts": {

    "start": "node server.js"

  },

  // 远程代码仓库

  "repository": {

    "type": "git",

    "url": "https://github.com/shiguang0116/sg-utils"

  },

  // 关键字

  "keywords": [

    "javascript",

    "util"

  ],

  // 作者

  "author": "guang.shi",

  // 许可证数组

  "license": "ISC",

  // 提交bug的地址

  "bugs": {

    "url": "https://github.com/shiguang0116/sg-utils/issues"

  },

  // 包的主页

  "homepage": "https://github.com/shiguang0116/sg-utils#readme",

  // 运行引擎，指明node.js运行所需要的版本

  "engines": {

    "node": ">= 6.0.0",

    "npm": ">= 3.0.0"

  },

  // 开发环境的依赖包列表

  "devDependencies": {

    "eslint": "^5.16.0",

    "eslint-config-vui": "^0.2.7",

    "eslint-plugin-html": "^5.0.5"

  },

  // 生产环境的依赖包列表

  "dependencies": {},

  // 依赖包列表

  "peerDependencies": {}

}

三、devDependencies、dependencies、peerDependencies的区别
1、devDependencies和dependencies

devDependencies是只会在开发环境下依赖的模块，生产环境不会被打入包内。安装时，加上--save-dev
dependencies依赖的包不仅开发环境能使用，生产环境也能使用。安装时，加上--save

2、peerDependencies的作用

peerDependencies是用来发布npm插件时指定所需要兼容的宿主包的版本。比如以下场景：
我们开发webpack-plugin-a@1.0.0的时候是针对webpack@2.0.0来开发的；
webpack发布了最新的webpack@3.0.0并且做了不兼容升级，导致webpack-plugin-a@1.0.0已经不能在该版本使用；
有不明真相的开发者，安装了webpack@3.0.0和我们的webpack-plugin-a@1.0.0；
由于webpack版本不兼容，当该开发者执行编译的时候肯定是要报错的。那么如何避免这种问题的发生呢？这就需要在webpack-plugin-a@1.0.0的package.json中添加如下配置：

"peerDependencies": {

    "webpack": "^2.0.0"

}

这样就指定了webpack-plugin-a@1.0.0只兼容webpack@2.x.x，当用户同时安装webpack@3.0.0和webpack-plugin-a@1.0.0的时候就会抛出：
```
UNMET PEER DEPENDENCY webpack@3.0.

npm WARN webpack-plugin-a@1.0. requires a peer of webpack@^2.0. but none was installed
```

以上提示，足够让开发者认识到当前所存在的风险了，该特性添加于Node.js 0.8.19(npm 1.2.10)版本。
.

四、版本符号说明

如果对“语义化版本号变更”不了解的，可以参考文章：https://blog.csdn.net/guang_s/article/details/84991304
^ 是npm默认的版本符号。例如：npm install --save sg-utils 会在 package.json 中添加 “sg-utils”: “^1.4.6”。这个符号会告诉npm可以安装 1.4.6 或者一个大于它的版本，但是要是主版本 1 以下的版本；
~ 符号表示可以安装 1.4.6 或者一个大于它的版本，但是要是次版本号 1.3以下的版本；
> 符号用来指定可以安装的 beta 版本；
可以通过 npm config set save-prefix='' 来设置默认符号。

五、package-lock.json的作用
npm更新到v5.x.x以后，会出现一种新的自动生成文件 package-lock.json，如果打开这个文件，会发现它看着像 package.json 里面的依赖。那么，它究竟是做什么用的呢？

1、背景介绍

比如我们的项目用了 sg-utils ，npm install sg-utils --save-dev，我们本地使用的版本是 ^1.4.6，这时 package.json 记录的版本号也是 ^1.4.6；
当有人从 github 上拉取我们的代码，然后初始化项目（或者我们自己有一天也可能再次安装依赖）npm install。这个时候，项目安装的 sg-utils 就是在主版本 1 以下的最新版本（比如更新到了 1.4.7，两个版本之前修改了一个bug），那么本地安装的就是 1.4.7；
那么，就会存在多人开发项目，但是本地的依赖版本不一样的情况。虽然只是修改了一个 bug，但仍然有可能影响代码的开发。

2、package-lock.json 版本锁定

当我们安装依赖时，package-lock.json 文件会自动生成。里面会描述上一次更改后的确切的依赖管理树，包含了唯一的版本号和相关的包信息。之后的 npm install 会根据 package-lock.json 文件进行安装，保证不同环境、不同时间下的依赖是一样的；
由于 package-lock.json 文件中记录了下载源地址，可以加快我们的 npm install 速度。

————————————————
版权声明：本文为CSDN博主「猿始森林」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/guang_s/article/details/90376830

码农公寓

相关文章