package.json中的版本和package-lock.json的作用

一、package.json 版本

1.npm install 固定某个版本

npm i  --save vue-core-image-upload@2.3.10

2.~ ^ >= < + *符号区别

一般package.json依赖配置如下

"dependencies": {
    "accepts": "~1.3.7",
    "array-flatten": "1.1.1",
    "body-parser": "^1.19.0",
    "content-disposition": ">0.5.3",
    "content-type": "~1.0.4",
    "cookie": "^0.4.0",
    "cookie-signature": "<1.0.6",
    "debug": ">=2.6.9",
    "depd": "~1.1.2",
    "encodeurl": "<1.0.2"
  }

其中依赖名前会加上，例如 ~ ^ >= < + * 这些符号。

major.minor.patch

主版本号.次版本号.修补版本号
patch：修复bug，兼容老版本
minor：新增功能，兼容老版本
major：新的架构调整，不兼容老版本
~version
大概匹配某个版本
如果minor版本号指定了，那么minor版本号不变，而patch版本号任意
如果minor和patch版本号未指定，那么minor和patch版本号任意
如：~1.1.2，表示>=1.1.2 <1.2.0，可以是1.1.2，1.1.3，1.1.4，…，1.1.n
如：~1.1，表示>=1.1.0 <1.2.0，可以是同上
如：~1，表示>=1.0.0 <2.0.0，可以是1.0.0，1.0.1，1.0.2，…，1.0.n，1.1.n，1.2.n，…，1.n.n
^version
兼容某个版本
版本号中最左边的非0数字的右侧可以任意
如果缺少某个版本号，则这个版本号的位置可以任意
如：^1.1.2 ，表示>=1.1.2 <2.0.0，可以是1.1.2，1.1.3，…，1.1.n，1.2.n，…，1.n.n
如：^0.2.3 ，表示>=0.2.3 <0.3.0，可以是0.2.3，0.2.4，…，0.2.n
如：^0.0，表示 >=0.0.0 <0.1.0，可以是0.0.0，0.0.1，…，0.0.n
latest
安装的永远是最新发布的版本
>version
必须大于某个版本
如：>1.1.2，表示必须大于1.1.2版
>=version
可大于或等于某个版本
如：>=1.1.2，表示可以等于1.1.2，也可以大于1.1.2版本
<version
必须小于某个版本
如：<1.1.2，表示必须小于1.1.2版本
<=version
可以小于或等于某个版本
如：<=1.1.2，表示可以等于1.1.2，也可以小于1.1.2版本
X
x号的位置表示任意版本
如：1.2.x，表示可以1.2.0，1.2.1，…，1.2.n
**[星号] ***
任意版本，""也表示任意版本
如：*，表示>=0.0.0的任意版本
version1 - version2
大于等于version1，小于等于version2
如：1.1.2 - 1.3.1，表示包括1.1.2和1.3.1以及他们件的任意版本
range1 || range2
满足range1或者满足range2，可以多个范围

3.npm install 重新下载依赖包时，对于所下载的版本号的区别：

‘^16.8.0’ 表示安装16.x.x的最新版本，安装时不改变大版本号。
‘~16.8.0’ 表示安装16.8.x的最新版本，安装时不改变大版本号和次要版本号。
‘16.8.0’ 表示安装指定的版本号，也就是安装16.8.0版本。

上面三种写法除了 16.8.0 这种，其他两种都有可能实际安装的版本号与 package.json 文件中的版本号不一致。我们可以通过：

npm view react versions

来查看目前安装的react的具体版本号。正常情况下，依赖包的版本都是向下兼容的，所以通过^16.8.0 和~16.8.0这两种方式也很少报错。npm 默认的带^ ，你可以通过 npm config set save-prefix=’~’ 将 ~ 设置为默认符号。

二、2.package-lock.json 的作用

package-lock.json 的作用就是为了避免上述的 package.json 中的版本号与实际安装的不一致的问题。package-lock.json 在 npm 版本为 5 以上时，会自动生成。
官方的解释是：
package-lock.json is automatically generated for any operations where npm modifies either the node_modules tree, or package.json. It describes the exact tree that was generated, such that subsequent installs are able to generate identical trees, regardless of intermediate dependency updates.

通俗的说就是：package-lock.json里会维护一个依赖管理树，里面记录着每个依赖的确定版本, 获取地址和哈希值等信息，这样就保证了每次安装下载的依赖版本都是一样的。
如下是 package-lock.json 中的 react 的相关信息：

"react": {
    "version": "16.12.0",
    "resolved": "https://registry.npmjs.org/react/-/react-16.12.0.tgz",
    "integrity": "sha512-fglqy3k5E+81pA8s+7K0/T3DBCF0ZDOher1elBFzF7O6arXJgzyu/FW+COxFvAWXJoJN9KIZbT2LXlukwphYTA==",
    "requires": {
    "loose-envify": "^1.1.0",
    "object-assign": "^4.1.1",
    "prop-types": "^15.6.2"
    }
},

如果想要更新依赖的版本号，需要使用 npm install xxx@1.0.0 --save 这种方式来进行版本更新，这样 package-lock.json 文件才可以中也会对应做更新。