Renovate工具package.json与package-lock.json不同步问题咨询

这是Renovate的常见行为吗？ #

不是。Renovate默认逻辑是：更新依赖版本时会同时修改package.json（更新依赖声明版本）和package-lock.json（更新依赖快照版本），不会单独生成仅更新lock文件的PR——除非你主动配置了特殊规则。

你遇到的情况大概率是以下两种原因之一：

1. 开启了lockFileMaintenance功能：该功能会在package.json依赖范围允许的前提下，单独更新package-lock.json里的依赖快照版本（比如package.json写的是^1.0.0，lock文件是1.0.0，而最新兼容版本是1.1.0时，Renovate会生成仅更新lock的PR）。
2. 存在自定义packageRules规则：比如配置了仅针对package-lock.json的更新规则，导致Renovate忽略了package.json的修改。

如何配置确保两者同步更新？ #

根据不同原因，可通过以下方式调整：

• 禁用lockFileMaintenance（推荐无需单独更新lock的场景）
  在renovate.json配置文件中添加：

  {
    "lockFileMaintenance": {
      "enabled": false
    }
  }
  

  配置后，Renovate不会再生成仅更新lock文件的PR，所有依赖更新都会同时修改package.json和package-lock.json。

• 调整packageRules规则
  检查配置中是否存在针对package-lock.json的单独更新规则，若有则删除或修改，确保Renovate同时处理两个文件。比如移除类似以下的规则：

  {
    "packageRules": [
      {
        "matchFiles": ["package-lock.json"],
        "matchUpdateTypes": ["patch"],
        "automerge": true
      }
    ]
  }
  

• 确认依赖版本声明类型
  若希望依赖版本完全固定，确保package.json里的依赖是固定版本号（比如"lodash": "4.17.21"而非"lodash": "^4.17.21"），Renovate默认会同步更新固定版本对应的package.json和lock文件。

内容的提问来源于stack exchange，提问作者user1696409