Czy potrzebuję pakietu package-lock.json i package.json?

Question

Po zaktualizowaniu mojego NPM do najnowszej wersji (od wersji 3.X do 5.2.0) i uruchomieniu npm install istniejącego projektu, otrzymuję automatycznie utworzony plik package-lock.json.

Mogę powiedzieć, że package-lock.json daje mi dokładne drzewo zależności w przeciwieństwie do package.json.

Z tej informacji wynika, że ​​package.json jest zbędny i nie jest już potrzebny.

Czy oba są niezbędne do działania NPM?
Czy można bezpiecznie używać tylko pliku package-lock.json?

Dokumenty na pakiet-lock.json (doc1, doc2) nic o tym nie wspominają.

Edit:

Po trochę więcej o tym myśleć, doszedłem do wniosku, że jeśli ktoś chce wykorzystać swój projekt ze starszej wersji KMP (przed 5.x) to jeszcze zainstalować wszystkie zależności, ale z mniej dokładnych wersji (wersja Patch)

Answer 1

strony npm dokumentów:

package-lock.json jest generowany automatycznie dla każdej woź- jony, gdzie npm modyfikuje drzewo node_modules lub package.json. Opisuje ono dokładnie wygenerowane drzewo, tak aby kolejne instalacje mogły generować identyczne drzewa, niezależnie od aktualizacji zależności pośrednich.

Z nie można kontrolować wersji zagnieżdżonych zależności. Nawet jeśli zablokujesz wersje swoich bezpośrednich zależności, nie możesz w 100% zagwarantować, że twoje pełne drzewo zależności będzie za każdym razem identyczne.

Z plikiem package-lock.json plik blokady blokuje wersję pełnego drzewa zależności. Pozwala to zagwarantować drzewo zależności dla innych programistów lub wersji, a jednocześnie umożliwia testowanie nowych wersji zależności (bezpośrednich lub pośrednich) przy użyciu standardowego package.json.

W związku z tym nie jest on nadmiarowy, ale zapewnia funkcjonalność do instalowania drzewa zależności w ściśle określonym środowisku.

Answer 2

Jeśli masz pytanie, czy plik blokujący powinien zostać zatwierdzony do kontroli źródła - powinien. Zostanie zignorowany pod pewnymi warunkami.

Znalazłem rozliczne żądania ściągania i historię zatwierdzania, więc jeśli widzisz, że to się zmieni, wykonaj osobne zatwierdzenie.