更新3:正如其他答案所指出的，npm ci命令在npm 5.7.0中被引入，作为在ci环境中实现快速和可复制构建的额外方式。更多信息请参阅文档和npm博客。

更新2:更新和澄清文档的问题是GitHub issue #18103。

更新1:下面描述的行为在npm 5.4.2中得到了修复:当前预期的行为在GitHub issue #17979中概述。

原答案(5.4.2之前):包锁的行为。Json在NPM 5.1.0中被改变了，在第16866期讨论过。你观察到的这种行为显然是npm 5.1.0版本的意图。

就是那个包裹。Json可以覆盖包锁。每当在package.json中发现一个依赖项的新版本时，就调用Json。如果你想有效地固定依赖项，你现在必须指定不带前缀的版本，例如，你需要把它们写成1.2.0而不是~1.2.0或^1.2.0。然后组合包装。Json和包锁。Json将产生可复制的构建。需要明确的是:package-lock。Json单独不再锁定根级依赖!

无论这个设计决定是好是坏是有争议的，在GitHub上的17979号问题中，有一个正在进行的讨论。(在我看来，这是一个值得怀疑的决定;至少这个名字锁不再适用了。)

另一个边注:对于不支持不可变包的注册表也有限制，例如当你直接从GitHub而不是npmjs.org提取包时。有关进一步的解释，请参阅包锁的文档。

更新3:正如其他答案所指出的，npm ci命令在npm 5.7.0中被引入，作为在ci环境中实现快速和可复制构建的额外方式。更多信息请参阅文档和npm博客。

更新2:更新和澄清文档的问题是GitHub issue #18103。

更新1:下面描述的行为在npm 5.4.2中得到了修复:当前预期的行为在GitHub issue #17979中概述。

原答案(5.4.2之前):包锁的行为。Json在NPM 5.1.0中被改变了，在第16866期讨论过。你观察到的这种行为显然是npm 5.1.0版本的意图。

就是那个包裹。Json可以覆盖包锁。每当在package.json中发现一个依赖项的新版本时，就调用Json。如果你想有效地固定依赖项，你现在必须指定不带前缀的版本，例如，你需要把它们写成1.2.0而不是~1.2.0或^1.2.0。然后组合包装。Json和包锁。Json将产生可复制的构建。需要明确的是:package-lock。Json单独不再锁定根级依赖!

无论这个设计决定是好是坏是有争议的，在GitHub上的17979号问题中，有一个正在进行的讨论。(在我看来，这是一个值得怀疑的决定;至少这个名字锁不再适用了。)

另一个边注:对于不支持不可变包的注册表也有限制，例如当你直接从GitHub而不是npmjs.org提取包时。有关进一步的解释，请参阅包锁的文档。

这个问题在npm v5.4.2中被修复了

https://github.com/npm/npm/issues/17979

(向下滚动到线程中的最后一条评论)

更新

在5.6.0中修正。在5.4.2中有一个跨平台的错误，导致这个问题仍然发生。

https://github.com/npm/npm/issues/18712

更新2

请看我的回答: https://stackoverflow.com/a/53680257/1611058

NPM ci是你现在安装现有项目时应该使用的命令。

我发现在npm 5.7.1的新版本中加入了新的命令npm ci，它将从package-lock安装。json只

The new npm ci command installs from your lock-file ONLY. If your package.json and your lock-file are out of sync then it will report an error. It works by throwing away your node_modules and recreating it from scratch. Beyond guaranteeing you that you'll only get what is in your lock-file it's also much faster (2x-10x!) than npm install when you don't start with a node_modules. As you may take from the name, we expect it to be a big boon to continuous integration environments. We also expect that folks who do production deploys from git tags will see major gains.

在他们的github页面上有一个公开的问题:https://github.com/npm/npm/issues/18712

当开发人员使用不同的操作系统时，这个问题最为严重。

也许你应该用这样的东西

npm ci

而不是使用npm install 如果您不想更改包的版本。

根据官方文档，npm install和npm ci都安装了项目所需的依赖项。

主要的区别是，npm install确实使用package来安装包。Json作为引用。在npm ci的情况下，它确实使用package-lock来安装包。Json作为参考，确保每次安装的包都是正确的。