前端Leader你应该知道的NPM包管理机制
npm install 命令
首先总结下npm 安装一个模块包的常用命令。
/* 模块依赖会写入 dependencies 节点 */ npm install moduleName npm install -save moduleName npm install -S moduleName /* 模块依赖会写入 devDependencies 节点 */ npm install -save-dev moduleName npm install -D moduleName /* 全局安装模块包 */ npm install -g moduleName /* 安装特定版本的包 */ npm install 包名@版本号 /* 通过地址安装git仓库 */ npm install git+https://github.com/itwmike/axios.git npm install git+ssh://git@github.com:itwmike/axios.git /* 安装特定分支或Tag的git仓库 */ npm install git+https://github.com/itwmike/axios.git#tag /* 通过用户名安装git仓库 */ npm install github:帐号/仓库名 # npm install github:itwmike/axios npm install github:帐号/仓库名
npm 依赖包版本号
npm 所有node包都使用语义化版本号，规则要求如下：
-
每个版本号都形如1.2.3，由三个部分组成，依次叫做“主版本号(major)”、“次版本号(minor)”和“修订号(patch)” 。
-
当新版本无法兼容基于前一版本的代码时，则提高主版本号 。
-
当新版本新增了功能与特性，但仍兼容前一版本的代码时，则提高次版本号 。
-
当新版本仅仅修正漏洞或者增强效率，仍然兼容前一版本代码，则提高修订号。
默认使用 npm install -save 下载的都是最新版本，同时会在package.json 文件中登记一个最优版本号，如下形式：
"dependencies": {
"axios": "^0.19.0"
},
最优版本号前面会多出一个“标记”，这个标记有啥意义？它的写法又有哪些？
npm install 都做了哪些事？
拿到一个node项目时首要做法是运行 npm install 命令，这个命令将 package.json 文件中的依赖包自动解析并安装，这也是项目能够本地运行的前置条件。那如此简单的一条命令，npm 背后又做了哪些不为人知的事呢？
Number One
自 npm 5.0后，项目中如果没有 package-lock.json 文件的时候，npm 会自动帮我们生成。该文件的主要作用是记录依赖包之间的具体版本号，对包版本有一个锁定的意义，项目开发中应该将此文件上传到git等版本控制工具（博主为此经历了血淋淋的惨痛教育）。
Number Two
检测本地包是否已经下载。如果本地 node_modules 下已经存在和 package-lock.json 中版本一致的包，则不会重新下载。
Number Three
下载依赖节点中对应的模板包。下载规则是：如果 package-lock.json 文件存在，则按照该文件中记录的版本号下载对应的模块包；如果文件不存在或文件中没有该包的记录，此时会按照版本号的标记（上面已讲）规范下载并同时更新到 package-lock.json。
了解了 package-lock.json 的作用后，笔者有个疑问：手动修改 package.json 中的包版本号后运行 npm install 命令会下载新包么？
带着这个疑问，笔者做了实验，得出如下结论：
-
如果新旧版本号差距较大，比如从 ^2.5.2 变为 2.6.0 ，那么会下载最新包并且更新 package-lock.json 。
-
如果新旧版本号差距较小，比如从 ^2.5.2 变为 2.5.4，那么不会更新。
总之是否更新要看特定情况，取决于 package.json中版本号的标记和 package-lock.json 是否一致。
cnpm install 探索
cnpm 是淘宝 npm 镜像，在国内很受欢迎，虽然笔者并不喜欢使用。那 cnpm 和 npm 对包的管理是否一样呢？
-
cnpm install 并不会生成 package-lock.json
-
cnpm install 并不受 package-lock.json 的约束，它会按照版本号标记规则下载依赖包
由此可见，我们在项目中使用 cnpm 的时候一定要慎重，因为很可能团队成员每个人使用的依赖包版本都不相同，造成打包后的结果也不同。
如果团队要使用 cnpm，请使用固定版本号的方式安装依赖包如：cnpm install -E moduleName