面试题：Node.js中NPM如何锁定依赖版本

Question

在Node.js项目中，描述一下使用NPM锁定依赖版本的常见方法，并举例说明如何通过相关命令来实现。

Answer 1

常见方法

1. package - lock.json 文件：当使用 npm install 安装依赖时，npm 会自动生成 package - lock.json 文件。该文件精确记录了每个依赖包的版本号、下载地址、校验和等信息。它确保了团队成员在不同环境下安装依赖时，得到的依赖版本完全一致。
2. 在package.json中固定版本号：在 package.json 文件中，手动指定依赖包的具体版本号。例如，写成 "lodash": "4.17.21"，而不是使用语义化版本号范围，如 "lodash": "^4.17.0"。这样每次安装时，npm 会严格安装指定的版本。

相关命令实现

1. 生成package - lock.json：
   • 安装依赖时自动生成：在项目目录下运行 npm install 命令，npm 会根据 package.json 中的依赖信息安装依赖，并同时生成 package - lock.json 文件。例如，项目的 package.json 中有 "lodash": "^4.17.0"，运行 npm install 后，package - lock.json 会精确记录安装的 lodash 版本（假设是 4.17.21）。
2. 固定package.json中的版本号：
   • 手动修改 package.json 文件：打开 package.json，将依赖的版本号修改为具体版本，如 "axios": "0.27.2"。然后运行 npm install，npm 会安装指定的 0.27.2 版本的 axios。
   • 使用命令行固定版本：可以使用 npm install <package - name>@<version> 命令。例如，要安装固定版本的 express，运行 npm install express@4.17.1，此时 package.json 中 express 的版本会被记录为 4.17.1，同时安装该版本的 express 依赖。