为何package-lock.json未锁定package.json中^指定的Bootstrap版本？

算力阿峰

2026-7-15

关于package-lock.json版本锁定的疑问解答

你遇到的现象是npm版本差异导致的，npm v7及以后版本调整了package-lock.json的结构，和旧版本表现不同，但它依然在锁定具体版本，只是写法变了。

具体原因拆解：

npm版本的行为变化
在npm v6及更早版本中，用^x.y.z这类范围安装依赖后，package-lock.json会直接把顶层的版本号替换成实际安装的具体版本（比如"bootstrap": "5.3.0"）。但从npm v7开始，为了和package.json的声明保持一致，lock文件会保留package.json里的范围符号（比如^5.0.0），但会在该依赖的嵌套字段里锁定具体的安装版本。
你的lock文件里其实已经锁定了具体版本
仔细查看生成的package-lock.json，找到bootstrap的条目，里面一定有version字段明确写着5.3.0，还有resolved（包的下载地址）和integrity（包的哈希值）字段，这两个字段用来确保下次安装时拉取的是完全相同的包。示例如下：
```
"bootstrap": {
  "version": "5.3.0",
  "resolved": "https://registry.npmjs.org/bootstrap/-/bootstrap-5.3.0.tgz",
  "integrity": "sha512-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "requires": {
    "@popperjs/core": "^2.11.8"
  }
}
```
顶层的"bootstrap": "^5.0.0"只是对应package.json里的版本范围声明，实际生效的是嵌套的version、resolved和integrity字段。
lock文件的版本锁定逻辑
下次不删除package-lock.json执行npm install时，npm会直接根据lock文件里的version、resolved和integrity安装5.3.0版本，不会再去拉取最新的5.x版本。只有删除lock文件或者执行npm update bootstrap时，才会更新到更高的兼容版本。