npm、yarn 和 pnpm 的 lockfile 机制 前端项目里有一种问题很烦：本地开发和测试都好好的，换一台机器、换一次 CI，或者隔几天重新安装依赖，项目突然就坏了。 排查到最后，发现不是业务代码变了，而是某个间接依赖发布了新版本。package.json 没动，但安装出来的 node_modules 已经不一样了。 lockfile 就是为这种问题准备的。它让同一份依赖声明，在团队成员、CI 和发布环境里尽量安装出同一棵依赖树。 package 2022-05-09