pkg semver 详解

一、最佳实践：

总结起来，在 2018 年 (node 9.8.0, npm 5.7.1) 时代，我认为的依赖版本管理应当是:

使用 npm:>=5.1版本, 保持package-lock.json文件默认开启配置

初始化：第一作者初始化项目时使用npm install <package>安装依赖包, 默认保存^X.Y.Z依赖 range 到 package.json中; 提交package.json,package-lock.json,不要提交node_modules目录

初始化：项目成员首次checkout/clone 项目代码后，执行一次npm install安装依赖包

不要手动修改 package-lock.json

升级依赖包:

升级小版本: 本地执行npm update升级到新的小版本

升级大版本: 本地执行npm install <package-name>@<version>升级到新的大版本

也可手动修改 package.json 中版本号为要升级的版本(大于现有版本号)并指定所需的 semver, 然后执行npm install

本地验证升级后新版本无问题后，提交新的package.json,package-lock.json文件

降级依赖包:

正确:npm install <package-name>@<old-version>验证无问题后，提交package.json 和 package-lock.json 文件

错误: 手动修改package.json中的版本号为更低版本的 semver, 这样修改并不会生效，因为再次执行npm install依然会安装package-lock.json中的锁定版本

删除依赖包:

Plan A:npm uninstall <package>并提交package.json和package-lock.json

Plan B: 把要卸载的包从 package.json 中 dependencies 字段删除, 然后执行npm install并提交package.json和package-lock.json

任何时候有人提交了 package.json, package-lock.json 更新后，团队其他成员应在 svn update/git pull 拉取更新后执行npm install脚本安装更新后的依赖包

二、semver介绍：

优先级：命令行>npm-shrinkwrap>lock>package.json

（默认安装范围内最高的）

1.0.0-2.0.0

1.0.x

~1.0.0

^1.0.0

caret difinition：

^major.minor.patchAllows changes that do not modify the left-most non-zero digit in the[major, minor, patch]tuple. In other words, this allows patch and minor updates for versions1.0.0and above, patch updates for versions0.X >=0.1.0, andnoupdates for versions0.0.X.