Node.js/TypeScript项目固定依赖版本后，仍需锁文件吗？

你在package.json里给所有依赖指定了精确版本（比如"eslint": "8.30.0"这种不带^或~的写法），确实每次执行npm install或yarn install时，顶层依赖会安装指定的版本，但这并不代表不需要yarn.lock或package-lock.json，原因如下：

• 锁定子依赖版本：顶层依赖本身还会依赖其他包（子依赖），这些子依赖在它们自己的package.json里通常是范围版本（比如^1.2.0）。没有lock文件的话，不同环境安装时，子依赖可能会因为版本范围更新而安装不同的版本，进而导致项目运行或构建出现不一致的问题。
• 提升安装速度：lock文件记录了所有依赖的精确版本、校验值和下载地址，安装时不需要重新解析整个依赖树，直接按lock文件的内容下载，速度会快很多。
• 消除包管理器解析差异：不同版本的npm或yarn在依赖解析逻辑上可能有细微差别，lock文件能确保不管用哪个兼容版本的包管理器，安装的依赖都是完全一致的。
• 保障团队协作一致性：多人开发时，lock文件能保证所有人安装的依赖完全相同，避免出现“本地能跑，部署环境报错”或者“我这没问题，你那出bug”的情况。

简单来说：就算固定了顶层依赖的精确版本，还是建议把lock文件提交到代码仓库，它能确保整个依赖树的一致性，规避潜在的环境差异风险。

内容的提问来源于stack exchange，提问作者hungdoansy