IT 회사에서 즐겁게 지내기!

저는 Angular CLI를 이용해서 Angular 앱개발을 시작했습니다.

그러면 자연히 npm(Node Package Manager)을 사용한다는 말이 되죠.

얼마전 GitHub에 아래와 같은 경고 메시지가 등장합니다. 

github 리파지토리 경고 메시지

package-lock.json이라는 녀석은 저의 작업 파일도 아닙니다.

대체 저 녀석은 무엇일까요?

오늘은 그것을 알아보도록 하겠습니다.

1. package-lock.json 이란?

npm 5.x.x 버젼 이상을 사용할 때 생겨나는 파일입니다.

이 파일이 생겨나는 시점은 npm install 입니다.

npm install 명령은 package.json을 보고 node_modules 폴더를 생성합니다.

그 폴더 안에 package.json에 명시된 의존성 패키지들을 설치하죠.

생성된 node_modules 폴더의 정보를 pacakge-lock.json에 담습니다.

동일한 package.json은 동일한 node_modules를 만들어내야합니다.

그래야 의존하는 앱이 정상적으로 동작을 할테니까요.

그러나 동일한 package.json이라도 서로 다른 node_modules를 만들게 되는 경우가 생깁니다.

  1) npm의 버젼이 다른 경우

  2) 의존성을 가진 패키지의 버젼이 업그레이드 되는 경우

  3) 의존성을 가진 패키지가 의존하는 패키지의 버젼이 업그레이드 되는 경우

1) 은 쉽게 이해가 가는 내용이구요.

2), 3)의 경우, 아래와 같은 package.json을 예를 들어 보겠습니다.

{
  "name": "myApp",
  "version": "0.1.0",
  "dependencies": {
    "1st_depth": "^1.0.0"
  }
}

myApp은 1st_depth라는 패키지에 의존성을 가지고 있습니다.

1st_depth 패키지는 아래와 같은 package.json을 가집니다. 

{
  "name": "1st_depth",
  "version": "1.0.0",
  "dependencies": {
    "2nd_depth": "^1.0.0"
  }
}

1st_depth은 2nd_depth라는 패키지에 의존성을 가지고 있구요.

2nd_depth의 package.json은 아래와 같습니다.

{
  "name": "2nd_depth",
  "version": "1.0.0"
}

위와 같은 설정에서 node_modules는 아래와 같은 구조가 되겠지요.

myApp@0.1.0
`-- 1st_depth@1.0.0
    `-- 2nd_depth@1.0.0

이런 상황에서 위의 2), 3)번은 아래와 같이 발생하게 됩니다.

2) 의존성을 가진 패키지의 버젼이 업그레이드 되는 경우

myApp@0.1.0
`-- 1st_depth@1.0.1
    `-- 2nd_depth@1.0.0

1st_depth가 1.0.1로 업데이트 되었다고 가정해봅시다.

그러면 npm install시 1.0.1 버젼의 1st_depth를 받아오게 됩니다.

사실 이는 myApp의 package.json에서 B 버젼을 완전히 고정하면 해결됩니다.

그러나 3)의 경우는 좀 더 복잡합니다.

3) 의존성을 가진 패키지가 의존하는 패키지의 버젼이 업그레이드 되는 경우

myApp@0.1.0
`-- 1st_depth@1.0.0
    `-- 2nd_depth@1.0.1

2nd_depth가 1.0.1로 업데이트 되었다고 가정해봅시다.

그러면 npm install시 1.0.1버젼의 2nd_depth를 받아오게 됩니다.

1st_depth의 개발자는 보통 myApp 개발자와 다를 확률이 높습니다.

따라서 우리는 1st_depth 개발자의 package.json을 수정할 수 없습니다.

이런 상황이 package-lock.json의 필요성이 대두되는 순간입니다.

package locks 혹은 lockfiles로 불리우며 package.json의 약점을 보완합니다.

myApp 개발자의 node_modules 폴더의 스냅샷을 저장하는 방식으로 말이지요.

2. package-lock.json이 존재하는 경우 npm install

package-lock.json이 존재하는 경우 npm install의 동작이 조금 달라집니다.

npm install시 더이상 package.json을 계산하지 않습니다.

package-lock.json에 명시된 의존 패키지들을 통해 node_modules를 만들어내죠.

pacakge-lock.json이 생겨난 이유를 생각하면 당연합니다.

3. package-lock.json의 변경

따로 사용하는 방법이 있는 것은 아닙니다.

package.json 변경 후 npm 명령어를 수행하면 됩니다.

package.json의 변경은 package-lock.json보다 우선시됩니다.

npm install, npm rm, npm update는 개발자의 node_modules를 변경시키게 됩니다.

그러면 자연스럽게 package-lock.json이 변경됩니다.

Q & A

 Q1. pacakge-lock.json은 형상관리에 포함시켜야하나?

  당연히 포함시켜야합니다.

  모든 개발자가 같은 node_modules를 가지고 작업하기 위해 필수입니다.

 Q2. package-lcok.json이 충돌하게 되는 경우 어떻게 하나요?

  여러 명의 개발자가 각각 다른 장비에서 npm install을 하다보면 발생하는 현상입니다.

  5.7.0 버젼 이후로는 package.json을 수정하여 npm install을 하여 해결합니다.

  --package-lock-only 라는 옵션을 통해 node_modules 수정 없이 해결도 가능합니다.

  귀찮다면 npm-merge-driver라는 툴을 사용하면 됩니다.

 Q3. package-lock.json이 자꾸 변경되는데 막을 수 있나요?

  npm install 관련하여 --no-package-lock이라는 옵션을 사용할 수 있습니다.

  npm install로 변경되는 node_modules의 변경사항을 저장하지 않는 방법이죠.

GitHub에서 package-lock.json에 대해 신경쓰이는 경고를 날려주는 바람에 공부했네요.

도움이 되실까하여 공유드립니다. 

정보출처:

https://docs.npmjs.com/files/package-locks

https://medium.com/coinmonks/everything-you-wanted-to-know-about-package-lock-json-b81911aa8ab8