Что произойдёт, если один разработчик имеет package-lock.json, а другой — нет?

Что такое package-lock.json?

Файл package-lock.json автоматически генерируется npm при установке зависимостей. Он содержит точную информацию о версиях каждого установленного пакета, включая все транзитивные зависимости, их хеши и URL для скачивания. Это гарантирует, что каждый раз при выполнении npm install будет установлен идентичный набор пакетов.

Проблема при отсутствии package-lock.json

Если один разработчик имеет этот файл, а другой нет, то второй разработчик получит зависимости, соответствующие диапазонам версий, указанным в package.json. Например, если в package.json указано "lodash": "^4.17.0", то npm может установить версию 4.17.21, в то время как первый разработчик использует 4.17.15. Это может привести к неожиданным багам, особенно если в новой версии были изменения API или исправления, которые меняют поведение.

Пример

// package.json
{
  "dependencies": {
    "express": "^4.18.0"
  }
}

// package-lock.json (фрагмент)
{
  "express": {
    "version": "4.18.2",
    "resolved": "...",
    "integrity": "..."
  }
}

Без package-lock.json npm может установить express 4.18.3, если он доступен, что может содержать незадокументированные изменения.

Вывод

Всегда коммитьте package-lock.json в репозиторий, чтобы обеспечить единообразие окружения у всех разработчиков и в CI/CD. Это предотвращает проблемы, связанные с несовместимостью версий, и упрощает отладку.