package.json 中 ~ 和 ^ 版本号有什么区别？为什么建议锁版本？

Question

仓乃文 · Accepted Answer

package.json 中的版本号前缀决定了依赖更新的范围，用错了可能导致"昨天还能跑，今天就挂了"。版本号格式： ``` ^1.2.3 → 允许 >=1.2.3 <2.0.0（兼容更新，允许 minor 和 patch） ~1.2.3 → 允许 >=1.2.3 <1.3.0（补丁更新，只允许 patch） 1.2.3 → 精确版本（不允许任何更新）示例： ^1.2.3 → 1.2.3, 1.2.4, 1.3.0, 1.9.9 ✓ 2.0.0 ✗ ~1.2.3 → 1.2.3, 1.2.4, 1.2.9 ✓ 1.3.0 ✗ 1.2.3 → 1.2.3 ✓ 1.2.4 ✗ ``` 为什么 ^ 可能出问题： ```bash # 你的 package.json "lodash": "^4.17.0" # 今天安装：4.17.21 # 明天 lodash 发布 4.18.0（可能有 breaking change） # 新成员 npm install 拿到 4.18.0 # 你的代码可能就挂了 # 这就是"昨天还能跑，今天就挂了"的经典场景 ``` 锁版本方案： ```bash # 方案 1：用 lockfile（推荐） # package-lock.json / pnpm-lock.yaml 保证安装一致性 # CI 中用 npm ci 严格按 lockfile 安装 # 方案 2：精确版本号 npm install --save-exact lodash # 或配置 npm 默认精确版本 npm config set save-exact true # 方案 3：pnpm 的 overrides 统一版本 { "pnpm": { "overrides": { "lodash": "4.17.21" } } } ``` 补充说明： - 规则：lockfile 必须提交到 Git，CI 必须用 npm ci - ^ 是默认行为，依赖 lockfile 保证一致性 - 应用项目建议锁版本，库项目用 ^ 保持兼容 - npm config set save-exact 可以默认精确版本 - 定期 npm update 更新依赖，但要在 CI 中验证