lockfile 与可复现安装

核心认识

lockfile 记录完整依赖图、精确版本和完整性信息，使不同机器和 CI 尽可能得到一致结果。它应提交到版本库，并配合冻结安装模式防止构建时悄悄改写依赖。

学习重点

• 能解释模块或依赖是如何声明、解析、安装与加载的
• 能读懂 package.json、lockfile 以及安装过程中的错误信息
• 能识别版本漂移、重复依赖、循环依赖和供应链风险

实践检查

• 能用自己的话解释“lockfile 与可复现安装”
• 能在最小项目中完成一次与“lockfile 与可复现安装”相关的验证
• 能记录常见问题、取舍依据和排查方法