JavaScript依赖锁定的核心是锁文件（package-lock.json或yarn.lock），它精确记录依赖的确切版本、下载地址和完整性哈希；package.json中的语义化版本规则（如^、~）仅定义可更新范围，真正确保环境一致需提交锁文件并使用npm ci。
JavaScript 依赖管理的核心在于 package.json 和锁文件（package-lock.json 或 yarn.lock）的配合使用。版本号“锁定”不是靠手动改 package.json 实现的，而是由包管理器在安装时自动生成并维护的锁文件来保证——它精确记录每个依赖及其子依赖的**确切版本、下载地址和完整性哈希**。
package.json 中的版本写法决定可更新范围
package.json 的 dependencies 或 devDependencies 字段里写的不是“固定版本”，而是**语义化版本规则**，它告诉包管理器“允许安装哪些版本”。常见写法及含义：
-
"lodash": "4.17.21"：精确版本（不推荐，缺少安全补丁自动更新能力） -
"lodash": "^4.17.21"：允许更新到4.x.x中的最新版（兼容性更新，主版本不变） -
"lodash": "~4.17.21"：只允许更新到4.17.x中的最新版（修复级更新） -
"lodash": "latest"：始终拉取最新发布版（高风险，不建议用于生产）
真正锁定版本的是 package-lock.json
当你运行 npm install（或 yarn install）时，npm 会根据 package.json 的规则解析出一套满足条件的依赖树，然后把每一层依赖的完整解析结果写进 package-lock.json。这个文件包含：
- 每个包的确切版本号（如
"lodash": {"version": "4.17.21"}） - 该版本对应的 tarball 下载 URL
- integrity 字段（如
sha512-...），用于校验包完整性 - 依赖的嵌套结构（谁依赖了谁）
只要 package-lock.json 不变，再次执行 npm ci（clean install）就会复现完全一致的 node_modules。
立即学习“Java免费学习笔记（深入）”；
如何确保团队/CI 环境使用完全一致的依赖
- 把
package-lock.json（npm）或yarn.lock（Yarn）提交到 Git —— 这是锁定生效的前提 - 在 CI 或部署时，用
npm ci替代npm install：
它跳过package.json解析，直接按 lock 文件重建，更快更确定 - 避免混用 npm 和 yarn（尤其在同一项目中），它们的 lock 文件格式与解析逻辑不同
- 升级依赖时，显式运行
npm update lodash或npm install lodash@4.18.0，再提交更新后的 lock 文件
注意：lock 文件 ≠ package.json 版本号“固定”
有人误以为把 package.json 改成精确版本就能“锁定”，其实这只是缩小了可选范围；真正起作用的是 lock 文件。如果你删掉 package-lock.json 再跑 npm install，哪怕 package.json 写的是 "^4.17.21"，也可能装上 4.17.22（如果它已发布）。所以，锁文件必须受控，且不能被忽略或手动生成。
