package.json 和 package-lock.json 的区别

1. `package.json` 概述

1.1 定义

package.json 是 JavaScript 项目的基本配置文件，它包含了项目的元数据，包括项目名称、版本、描述、作者、许可证、依赖项、脚本命令等信息。它通常位于项目的根目录中，是 npm（Node 包管理器）使用的重要文件。

1.2 主要内容

项目基本信息：
- name: 项目的名称。
- version: 项目的版本号。
- description: 项目的简要描述。
- author: 项目的作者。
依赖管理：
- dependencies: 项目运行所需的依赖包。
- devDependencies: 开发时需要的依赖包。
脚本命令：
- scripts: 定义在命令行中可以运行的自定义 npm 脚本。

1.3 示例

一个典型的 package.json 文件如下所示：

{
  "name": "my-awesome-project",
  "version": "1.0.0",
  "description": "A project that does awesome things",
  "main": "index.js",
  "scripts": {
    "start": "node index.js",
    "test": "jest"
  },
  "dependencies": {
    "express": "^4.17.1"
  },
  "devDependencies": {
    "jest": "^26.6.0"
  },
  "author": "Your Name",
  "license": "MIT"
}

2. `package-lock.json` 概述

2.1 定义

package-lock.json 是自动生成的文件，它锁定了项目中依赖包的确切版本和树状结构。这个文件确保团队成员、生产环境和持续集成环境中使用的一致性，使得项目在不同环境中能够以相同的方式运行。

2.2 主要内容

锁定版本：记录每个依赖的确切版本号，而不仅仅是范围符号（如 ^ 或 ~）。
依赖树：详细描述了每个依赖及其子依赖的结构，确保安装时不会出现版本冲突。
完整性校验：包含每个包的完整性哈希，验证下载的包是否未被篡改。

2.3 示例

一个典型的 package-lock.json 文件如下所示（内容较长，仅展示部分）：

{
  "name": "my-awesome-project",
  "version": "1.0.0",
  "lockfileVersion": 1,
  "dependencies": {
    "express": {
      "version": "4.17.1",
      "resolved": "https://registry.npmjs.org/express/-/express-4.17.1.tgz",
      "integrity": "sha512-...",
      "dev": false,
      "engines": {
        "node": ">= 0.10.0"
      },
      "dependencies": {
        "accepts": {
          "version": "1.3.7",
          ...
        }
      }
    },
    ...
  }
}