> В чем разница package-lock.json и package.json (JavaScript)

Короткий ответ

package.json - это манифест проекта, содержащий метаданные, список зависимостей с диапазонами версий и скрипты. package-lock.json - это автоматически генерируемый файл, который фиксирует точные версии всех установленных пакетов и их подзависимостей, обеспечивая воспроизводимость сборки. Без lock-файла разные разработчики могут получить разные версии зависимостей из-за семантического версионирования.

Подробное объяснение

package.json создаётся разработчиком вручную или через npm init. Он содержит:

• имя, версию, описание проекта
• зависимости с диапазонами версий (например, "express": "^4.18.0")
• devDependencies, scripts, конфигурации

package-lock.json генерируется автоматически при каждом выполнении npm install. Он фиксирует:

• точную версию каждого пакета (например, "express": "4.18.2")
• resolved URL для скачивания
• integrity hash для проверки целостности
• полное дерево зависимостей с вложенными подзависимостями

Основные различия:

• Назначение: package.json описывает желаемые версии, package-lock.json - фактически установленные
• Управление: package.json редактируется вручную, package-lock.json - только через npm
• Версионирование: package.json использует semver-диапазоны, package-lock.json - конкретные версии
• Обязательность: package.json обязателен, package-lock.json рекомендуется коммитить в репозиторий

На практике

• Всегда коммить package-lock.json в систему контроля версий - это гарантирует, что все разработчики и CI-системы получат идентичное дерево зависимостей
• При обновлении зависимостей через npm update или npm install <package>@<version> lock-файл обновляется автоматически
• Если удалить lock-файл и выполнить npm install, npm создаст новый, но версии могут отличаться от исходных из-за изменений в реестре
• Для аудита безопасности используй npm audit, который анализирует именно lock-файл
• В Yarn аналог - yarn.lock, в pnpm - pnpm-lock.yaml

Пример кода

JSON
// package.json
{
  "dependencies": {
    "express": "^4.18.0" // диапазон: любая 4.18.x или 4.19.0
  }
}

// package-lock.json (фрагмент)
{
  "packages": {
    "node_modules/express": {
      "version": "4.18.2", // точная версия
      "resolved": "https://registry.npmjs.org/express/-/express-4.18.2.tgz",
      "integrity": "sha512-5/PsL6iGPdfQ/lKM1UuielYgv3BUoJfz1aUwU9vHZ+J7gyvwd3FEQ=="
    }
  }
}

Как отвечать на собеседовании

Начни с краткого определения каждого файла, затем перечисли ключевые различия. Подчеркни, что package-lock.json решает проблему воспроизводимости сборок - это главная причина его существования. Упомяни, что lock-файл нужно коммитить, и объясни почему. Если спросят про конфликты - скажи, что их можно разрешить перегенерацией через npm install. Для middle-уровня достаточно понимания концепции и практического применения.

Что проверяет интервьюер

• Понимание разницы между диапазонами версий и точными версиями
• Знание механизма семантического версионирования (semver)
• Осознание важности воспроизводимости сборок в командной работе
• Практический опыт работы с npm и разрешения конфликтов в lock-файлах
• Понимание, что lock-файл не является заменой package.json, а дополняет его

Типичные ошибки

• Утверждение, что package-lock.json не нужно коммитить (это распространённое заблуждение)
• Путаница с yarn.lock или pnpm-lock.yaml - каждый менеджер пакетов использует свой формат
• Игнорирование lock-файла при мерже конфликтов - простое удаление и перегенерация может привести к неожиданным обновлениям
• Мысль, что package-lock.json содержит только прямые зависимости - на самом деле там всё дерево
• Предположение, что lock-файл защищает от всех проблем с версиями - он не решает проблемы с удалёнными пакетами или изменениями в реестре