package-lock.json 与依赖清理
🎯 引言
学会这篇文章，你将理解 package-lock.json 为什么重要，npm ci 和 npm install 有什么不同，以及如何清理项目中无用的依赖。这些知识能帮你避免“本地能跑，线上报错”的棘手问题。
🧱 什么是 package-lock.json
当你执行 npm install 时，NPM 除了把包下载到 node_modules，还会生成或更新一个 package-lock.json 文件。
这个文件的作用是：
- 锁定每个依赖的具体版本，包括依赖的依赖。
- 记录下载地址和校验信息，确保每次安装得到完全一致的包。
- 加速后续安装，NPM 可以根据 lock 文件直接复用已解析的依赖树。
package-lock.json 理解为一份“详细采购清单”。package.json 只写了要买什么菜，package-lock.json 则精确到买哪一家、多少斤、什么批次。⚡ package-lock.json 要不要提交到 Git
要提交。
package-lock.json 应该和 package.json 一起放入版本控制。这样团队成员、CI/CD 服务器、生产环境安装的依赖版本才能完全一致。
node_modules 文件夹则不应该提交，因为它体积巨大，而且可以根据 lock 文件重新生成。通常会在 .gitignore 中忽略：
node_modules/
🚀 npm ci 是什么
npm ci 中的 ci 是 Continuous Integration（持续集成） 的缩写。它是专门为自动化环境设计的安装命令。
和 npm install 相比，npm ci 有以下特点：
| 特性 | npm install | npm ci |
|---|---|---|
| 是否读取 package-lock.json | 会读取，但可能更新它 | 严格按照 lock 文件安装 |
| 是否会修改 package.json | 可能 | 不会 |
| 安装前是否清理 node_modules | 不会 | 会先删除再重新安装 |
| 速度 | 较慢 | 更快 |
| 推荐场景 | 本地开发 | CI/CD、生产部署 |
在自动化脚本中，推荐使用：
npm ci
package-lock.json 和 package.json 不一致，npm ci 会直接报错。这是为了强制保证环境一致性。🧹 清理无用依赖
npm prune
有时候 node_modules 里会留下一些已经不再使用的包，比如之前安装过、后来从 package.json 中删掉的依赖。
npm prune
执行后，NPM 会检查 package.json 和 node_modules，把多余的包删除掉。
删除 node_modules 重装
如果项目依赖出现了奇怪的问题，比如版本冲突、安装不完整，可以尝试彻底重装：
rm -rf node_modules package-lock.json
npm install
package.json 重新生成 package-lock.json。🛠 检查依赖安全
NPM 还提供了检查依赖漏洞的命令：
npm audit
npm audit fix
npm audit：扫描项目依赖中的已知安全漏洞。npm audit fix：尝试自动修复漏洞，通常会把有问题的包升级到安全版本。
npm audit fix 可能会升级依赖版本，升级前最好确认不会破坏现有功能。建议在独立分支运行并充分测试。🧾 小节总结
package-lock.json锁定依赖精确版本，必须提交到 Git。node_modules体积大且可重新生成，应该加入.gitignore。npm ci比npm install更严格、更快，适合 CI/CD 环境。npm prune可以清理无用依赖，npm audit可以检查安全漏洞。
❓ 知识问答
Q1：package-lock.json 和 package.json 有什么区别？
A：package.json 描述项目需要的依赖和版本范围；package-lock.json 精确记录实际安装的每个包版本和依赖树结构。
Q2：npm ci 为什么会先删除 node_modules？
A：为了确保安装环境完全干净，避免旧的、不一致的包影响构建结果。
Q3：node_modules 需要提交到 Git 吗？
A：不需要。它可以根据 package.json 和 package-lock.json 重新安装，提交会浪费仓库空间。
Q4：npm audit fix 一定安全吗？
A：不一定。它可能会升级依赖到不兼容版本，升级后需要重新测试项目。
🧪 小练习
- 在你的
npm-demo项目中，删除node_modules和package-lock.json，然后分别尝试：
npm install
和
rm -rf node_modules
npm ci
观察两次安装过程和结果有什么不同。
- 执行
npm prune，检查是否有被删除但还残留在node_modules中的包。 - 执行
npm audit，看看项目依赖有没有已知漏洞。
🎉 恭喜你掌握了 NPM 的 lock 文件和依赖清理！现在你已经能够安装、管理、发布和清理 NPM 依赖，并且理解如何保证团队依赖环境的一致性。下一篇我们会拓展了解 Yarn 和 pnpm 这两个流行的替代工具。