Vaadin：我需要保留 package.json 和 package-lock.json 吗？

Question

当您构建 Vaadin 时，它会生成两个文件：package.json 和 package-lock.json。

我需要将它们保留在我的 VCS 中（在我的例子中是 Git）吗？

Answer 1

package.json包含项目的前端/npm/JavaScript 依赖项。@NpmPackage如果您不向其添加任何自定义依赖项，它可以（并且将会）根据Java 源中的注释自动重新生成。

package-lock.json是提供可重复构建的方法。如果删除它，那么项目的下一个版本可能会使用某些依赖项的不同版本。在最坏的情况下，新版本存在一些错误或兼容性问题，您的项目将不再工作。

因此建议至少保留package-lock.json在存储库中。如果你这样做，那么保留package.json也是有意义的，因为它们是齐头并进的。

package.json如果您有依赖项扫描器可以警告您有关易受攻击的依赖项（例如 GitHub 中的 dependentabot），那么保留版本控制可能还有一个额外的好处。