如何避免频繁更新package-lock.json，冻结依赖及子依赖？

针对你遇到的子依赖版本变动导致Jenkins构建失败的问题，结合你的Node.js v16.15.0和npm v8.5.5版本，推荐以下直接有效的方案：

1. 在Jenkins构建中使用npm ci替代npm install #

这是解决持续集成环境依赖不一致的核心方案：

• npm ci会严格按照package-lock.json中记录的所有依赖（包括子依赖）的精确版本执行安装，完全忽略package.json里的版本范围（比如^1.3.2这种脱字符格式）。
• 它不会修改package-lock.json，也不会尝试拉取任何超出lock文件记录的版本，确保每次构建的依赖版本完全一致。
• 只需将Jenkins构建脚本中的npm install替换为npm ci即可。

2. 本地环境防止意外修改依赖版本 #

如果要避免本地开发时误更新子依赖，可以做以下配置：

• 执行npm config set save-exact true，让后续新安装的依赖默认使用精确版本（无^或~前缀），从源头减少版本范围带来的变动风险。
• 禁止随意执行npm update命令，该命令会主动更新符合版本范围的依赖并修改package-lock.json，仅在你手动决定升级依赖时使用。

3. 确保package-lock.json的完整性 #

你的npm v8.5.5生成的package-lock.json是v2版本，该版本已完整记录所有嵌套子依赖的精确版本、哈希值和依赖树结构。只要：

• 将package-lock.json提交到Git仓库，确保Jenkins能拉取到完整的lock文件。
• 不要在项目中设置package-lock=false的npm配置，避免npm忽略lock文件。

补充：避免lock文件被意外提交 #

可以通过Git钩子（比如pre-commit）添加检查逻辑，阻止未经手动确认的package-lock.json修改提交，防止误操作导致依赖版本变动。

内容的提问来源于stack exchange，提问作者Jake Cano