package-lock.json有32000行仅31个依赖，该现象是否正常？

• package-lock.json行数多是因为包含了所有间接依赖
  你package.json里的31个依赖是「直接依赖」，但每个直接依赖本身还会依赖其他包（也就是「间接依赖」），npm会递归解析整个依赖树，把所有层级的包信息（版本号、哈希值、依赖关系等）都写入package-lock.json，用来锁定所有依赖的版本，确保不同环境安装的依赖完全一致。比如一个常见的前端框架，可能间接依赖上百个小工具包，递归下来总数量会非常庞大，32000行是很常见的情况。

• 删除lock文件和node_modules后npm i仍会安装所有依赖是正常行为
  npm i的核心逻辑就是解析完整的依赖树（直接+间接），然后把所有必要的包下载到node_modules中。没有lock文件时，npm会根据package.json里的版本范围拉取符合要求的最新版本，再生成新的package-lock.json；有lock文件时，则严格按照lock里的版本安装。不管有没有lock文件，npm都需要安装所有依赖才能让项目正常运行，所以这不是异常问题。

• package-lock.json的核心作用是版本锁定
  不要因为它行数多就觉得有问题，它的存在是为了避免依赖版本自动更新导致的兼容性bug，保证团队协作或部署时的依赖环境一致。

内容的提问来源于stack exchange，提问作者Luk1e