1.需求由来

之前，在react项目开发过程中遇到一个问题，同一个项目第一次cnpm install的时候还可以启动，过一段时间，把node_modules删掉，重新cnpm install，发现项目启动报错了。奇怪，项目代码和之前一样，一点都没改动。查其原因，发现是package.json文件的依赖模块版本号没有固定，如 "roadhog": "^2.5.0-beta.4"。这里有个^,安装的时候会安装2.x.x的最新版本，因为这期间该模块有更新，导致两次install的版本不一样，所以项目报错了。

2.解决办法

第一个想到的是我把该模块写死不就行了 "roadhog": "2.5.0-beta.4"。但是仔细一想，仍会有问题。npm最方便的地方，是它可以帮我们管理依赖，自动下载依赖。意思是假如我们依赖roadhog，roadhog又依赖模块A、B等，我们安装roadhog时，npm会自动帮我们安装好roadhog依赖的模块A、B等。

我们把roadhog锁死了，但是其引用的A模块仍用的是^括号写法（即没有锁死版本），所以假如A模块更新了，仍可能会出现之前类似的问题。那么该怎么进行版本控制呢。
所以我们要对整个依赖树做锁定，那前后编译出来的应用版本就不会存在两次安装版本不一的问题了。这就引出了我们的package-lock.json文件。它的产生就是来对整个依赖树进行版本固定的（锁死）

3.package-lock.json定义

引用官方解释：

package-lock.json它会在npm更改node_modules目录树或者package.json时自动生成的，它准确的描述了当前项目npm包的依赖树，并且在随后的安装中会根据package-lock.json来安装，保证是相同的一个依赖树，不考虑这个过程中是否有某个依赖有小版本的更新。
什么意思?我后面会解释，我们先了解下这个文件是如何生成的？

4.package-lock.json生成

默认，当我们在一个项目中npm install时候（前提该项目有package.json文件），安装完成后，会自动生成一个package-lock.json文件（位置和之前的package.json文件同级）。该文件里面记录了package.json依赖的模块，以及依赖的依赖。并且给每个依赖标明了版本, 获取地址和哈希值, 使得每次安装都会出现相同的结果. 不管你在什么机器上面或什么时候安装。
当我们下次再npm install时候，npm发现如果项目中有package-lock.json文件，会根据package-lock.json里的内容来处理和安装依赖而不再根据package.json.
网上说npm版本是v5.0.0以上的版本，但是测试我的版本是5.几（具体忘了），安装的时候并没有生成package-lock.json,于是升级了最新版本(我当时升级的是6.9.0)，发现可以了。
```
 npm -v //查看npm版本
 npm install -g npm //升级npm到最新版本
 npm install -g npm@6.0.1 //升级npm到指定版本
```
如果package-lock.json已经生成，我再次更新package.json某个模块版本（包括手动更改package.json某个版本号，然后重新npm install或者类似npm install antd@3.15.0来更新某个模块），package-lock.json都会自动更新到之前设置的版本，所以不用担心package.json更新了，package-lock.json还是旧的问题。npm v5.1.0之前存在该问题，npm v5.1.0以后不存在该问题。此同步功能是作为npm v5.1.0的一部分发布的，该版本于2017年7月5日上线。

5.package-lock.json格式

如果你有浏览它，会发现它长得类似package.json的依赖，但是比它复杂多了。package-lock.json是一个包含你所有依赖的巨大列表, 它包含明确的版本号, 依赖的获取地址, 一个用于验证完整性和正确性的哈希值, 以及这个依赖本身所需要的依赖.截个图看看：

require.png

从图中，我们可以看出里面有很多参数，具体参数解释我们可以参考官方文档

6.cnpm不支持package-lock.json

使用cnpm install时候，并不会生成package-lock.json文件，网上搜，cnpm维护者似乎并不打算支持该功能，具体大家可以去搜下。
cnpm install的时候，就算你项目中有package-lock.json文件，cnpm也不会识别，仍会根据package.json来安装。所以这就是为什么之前你用npm 安装产生了package-lock.json，后面的人用cnpm来安装，可能会跟你安装的依赖包不一致，这是因为cnpm 不受package-lock.json影响，只会根据package.json进行下载。