使用 package-lock.json 或 shadow.cljs.build-report 跟踪依赖项的变化有什么区别？

Question

我一直在使用 Clojure、ClojureScript、lein、shadow-cljs、re-frame、试剂、Emacs 和 CIDER 来处理 Clojure/ClojureScript 动态 Z2567A5EC9705EB7AC2C984033E 项目。

通常，我通过在 Emacs 中执行命令cider-jack-in-cljs来构建项目，选择shadow-cljs ，然后选择shadow作为 REPL 类型，最后选择app作为构建选项。

目前，该项目面临再现性危机。 很难知道项目中哪些依赖项正在更改。 此外，每个开发人员都有自己的本地开发环境。 事情变得更糟，因为这种“混乱”甚至可能发生在已部署的环境中，因为它取决于进行部署的机器（没有 CI/CD，部署是手动的）。

了解每次发布后更改的原因/方式/时间/哪些依赖项非常重要。

有一个有趣的命令叫做shadow-cljs shadow.cljs.build-report （参见文档）。 它可以使用npx shadow-cljs run shadow.cljs.build-report 。 此命令构建一个报告，将依赖关系树显示为原始 HTML。

一个想法是将此命令的 output 保持在版本控制下，并使用git diffs来检查差异。

但是，一位同事说package-lock.json已经做到了（参见文档）。 因此，我开始想知道两者之间的区别。

我至少可以看到一个： shadow.cljs.build-report输出的 HTML 文件在 web 浏览器中很好地呈现，因此，它对人类可读性的感觉更好。

还有其他区别吗？ 这些是什么？

Answer 1

Build Reports 仅报告构建信息。 它确实列出了与版本一起使用的所有依赖项，但不会锁定它们。 因此，它无助于构建可靠性，它仅用作控件。

您应该将package-lock.json给版本控制。 npm install使用它来确保每次运行它时都会安装所有相同的版本。 请参阅文档。

没有锁定文件npm install将以非确定性方式安装包。 不幸的是，大多数 npm 包使用版本范围来声明依赖关系。 因此，如果没有锁定文件，您永远无法确定您实际会获得哪个版本。