package-lock.json通过固化依赖树的精确版本、下载地址、哈希值及嵌套关系，确保npm install或npm ci能还原完全一致的依赖环境；它必须提交至git，且需配合--save-exact、npm ci等规范操作才能真正实现版本锁定。
锁定依赖版本不是靠“关掉自动更新”，而是靠 package-lock.json 和正确的安装方式共同实现的。核心是让每次安装都还原出完全一致的依赖树，而不是只靠 package.json 里的模糊写法。
用 package-lock.json 固定整棵依赖树
npm 每次运行 npm install 都会自动生成或更新 package-lock.json，它记录了：
– 每个包的确切版本（包括间接依赖）
– 包的下载地址、完整性校验值（integrity）
– 依赖之间的嵌套关系
这个文件必须提交到 Git，不能忽略，也不能手动编辑。
只要它存在且未被删改，后续执行 npm ci 或 npm install 就会严格按它还原——哪怕某个子依赖发布了新版，也不会影响你的项目。
在 package.json 中控制直接依赖的写法
你对直接依赖的声明方式，会影响 lock 文件的初始生成和未来升级行为：
-
精确版本（推荐生产环境）：用
npm install axios@1.6.7，package.json 中写成"axios": "1.6.7"，不带^或~。这样连主版本都不会动。 -
允许小范围升级：默认
npm install axios会写成"axios": "^1.6.7"，表示可升到1.x.x最新版，但不会到2.0.0；~1.6.7则只允许补丁升级（如1.6.8）。 -
禁用语义化升级：加
--save-exact参数，例如npm install lodash --save-exact，效果等同于手动写死版本号。
团队协作中必须遵守的操作底线
光写对命令不够，关键在流程约束：
- 禁止手动修改
package.json中的版本字段——所有变更必须通过npm install命令触发，确保 lock 文件同步更新。 - CI/CD 构建必须用
npm ci而非npm install。ci会跳过解析，直接按 lock 文件安装，失败即停，杜绝“本地能跑线上炸”的问题。 - 合并分支后若出现
package-lock.json冲突，不要手工合并，应先确保package.json已正确合并，再运行npm install重新生成 lock 文件。 - Git 的
.gitignore必须包含node_modules，且 pre-commit hook 应拒绝提交该目录。
验证是否真正锁住了
装完别只看 package.json，要交叉确认：
- 运行
npm list axios，输出的版本号应与你预期完全一致； - 打开
package-lock.json，搜索axios，查看version字段和integrity值是否固定； - 删掉
node_modules，再执行npm ci，观察是否装回完全相同的版本，无新增/降级/警告。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
