npm install拉取^范围新版本仅更新package-lock不更新package.json如何解决

行为说明 #

你遇到的是npm的默认设计，不存在使用错误：

• package.json存储依赖允许的版本范围，你声明的^7.34.0表示允许安装7.x.x系列中≥7.34.0的版本，新环境无lock文件时拉取到7.36.0符合规则
• package-lock.json存储实际安装的精确版本快照，默认逻辑下lock文件更新不会主动修改package.json的版本范围声明，因此二者版本不一致属于正常现象。

解决方案 #

优先推荐：根源避免版本自动升级 #

你的崩溃问题本质是未将package-lock.json提交到代码仓库导致的。只要将该文件纳入代码版本管理，所有环境执行npm install都会严格按照lock文件记录的版本安装，不会出现新环境自动升级依赖的问题，这也是lock文件的核心设计目的。

需求适配：拉取新版本时自动同步更新package.json #

如果你确实需要每次拉取版本范围内的最新依赖后，自动更新package.json的版本声明，可选择以下操作：

• 单次操作：使用npm update <依赖包名>代替普通npm install，该命令会将依赖升级到版本范围内的最新版，同时自动更新package.json的版本声明和package-lock.json记录
• 永久配置：执行npm config set save-exact true，后续所有新安装的依赖都会在package.json中写入精确版本号（不带^范围符），不会出现跨版本自动升级的情况，安装版本和package.json声明完全一致。

版本适配说明 #

你使用的npm 7.9.0版本完全兼容以上方案，无需额外调整配置。

内容的提问来源于stack exchange，提问作者Sayan