npm

• 
  
• package.json:
  主要用来记录你项目中所需要的所有模块。
  

当你执行npm install的时候，node会先从package.json文件中读取所有dependencies信息，然后根据dependencies中的信息与node_modules中的模块进行对比，没有的直接下载，已有的检查更新（最新版本的nodejs不会更新，因为有package-lock.json文件。）另外，package.json文件只记录你通过npm install 方式安装的模块信息，而这些模块所依赖的其他子模块的信息不会记录。

• package-lock.json:
  锁定所有模块的版本号，包括主模块和所有依赖模块。
  当你执行npm install的时候，node从package.json文件读取模块名称，从package-lock.json文件中获取版本号，然后进行下载或者更新。
• 
  因此，正因为有了package-lock.json文件锁定版本号，所以当你执行npm install的时候，node不会自动更新package.json文件中的模块，必须用npm install packagename（自动更新小版本号）或者npm install packagename@x.x.x（指定版本号）来进行安装才会更新，package-lock.json文件中的版本号也会随着更新。

^
放在版本号之前，表示向后兼容依赖，在大版本号不变的情况下，下载最新版的包。

项目中引入的包版本号之前经常会加^,每次在执行npm install 之后，下载的包都会发生改变，为了系统的稳定性考虑，每次执行完npm install 之后会对应生成package-lock文件，该文件记录了上一次安装的具体的版本号，相当于是提供了一个参考，在出现版本兼容性问题的时候，就可以参考这个文件来修改版本号即可。

npm 5 package-lock.json 的介绍
- 使用npm install xx命令安装模块时，不再需要–save选项，会自动将模块依赖信息保存到package.json文件
- 安装模块操作（改变node_modules文件夹内容）会生成或更新package-lock.json文件
- 发布的模块不会包含package-lock.json文件
- 如果手动修改了package.json文件中已有的模块的版本号，直接执行npm install 不会安装新指定的版本，只能通过npm install xxx@yy更新

重新安装模块之所以快，是因为 package-lock.json 文件中已经记录了整个 node_modules 文件夹的树状结构，甚至连模块的下载地址都记录了，再重新安装的时候只需要直接下载文件即可

以后直接改 package.json 文件相应模块的版本号，再执行npm install不会更新了（好可怕），你只能手动用npm install xxx@yy指定版本号来安装，然后它会自动更新 package-lock.json 文件。直接执行npm install时，如果不存在 package-lock.json 文件，它会根据安装模块后的 node_modules 目录结构来创建；如果已经存在 package-lock.json 文件，则它只会根据 package-lock.json 文件指定的结构来下载模块，并不会理会 package.json 文件。