标准答案
- package.json 描述版本范围，lockfile 记录一次解析后的精确依赖版本。
- 提交 lockfile 可以降低“我本地正常，CI 或线上构建失败”的概率。
- CI 应使用 npm ci、pnpm install --frozen-lockfile 或 yarn immutable install 这类冻结安装方式。
- 团队要统一包管理器，避免 npm、pnpm、yarn 混用导致多个 lockfile 或依赖树不一致。
- 依赖升级应该通过明确的 lockfile diff 审查，而不是在 CI 中隐式漂移。
题目解析
依赖可复现的核心是把“版本范围”变成“确定版本”。package.json 里的 ^1.2.0 可能在不同时间解析到不同 patch 版本，lockfile 则把实际安装结果固定下来。
CI 最怕隐式变化。一次看似无关的构建，如果因为上游发布新版本而安装出不同依赖，问题很难复盘，也不利于回滚。
冻结安装模式的意义是让 CI 成为校验点：如果 package.json 和 lockfile 不一致，就直接失败，要求开发者在本地重新安装并提交 lockfile。
代码示例
不同包管理器都有面向 CI 的可复现安装命令。
Text
npm:
npm ci
pnpm:
pnpm install --frozen-lockfile
yarn berry:
yarn install --immutable常见误区
- 不提交 lockfile，导致不同机器解析出不同依赖版本。
- CI 使用普通 install 并允许自动改写 lockfile。
- 团队混用多个包管理器，仓库里出现多个锁文件和不一致的 node_modules 行为。