npmのパッケージバージョンを固定する運用に切り替えた話

はじめに

npmの依存パッケージ管理について、これまで「package-lock.jsonを管理していれば十分」と考えていました。しかし、チーム開発や自動アップデートツール（dependabot等）の導入が進む中で、バージョンの不一致や意図しないアップデートによるトラブルが増えてきました。

そこで、パッケージのバージョンを完全に固定する運用へ切り替えたので、その背景と手順をまとめます。

npm update --save

これで、現状のバージョン範囲内で最新のものに揃えます。
--save をつけることで、package.jsonのバージョンが更新されます。
変わらないものは手動でpackage.jsonを修正しました。

rm -rf package-lock.json node_modules
npm cache clear --force

一度クリーンな状態にします。

touch .npmrc

.npmrcに以下を記述します。

save-exact=true

これにより、npm install時にバージョンが完全一致で記録されるようになります。

npm i

これでpackage.jsonのバージョン指定がすべて「完全一致」になり、以降のインストールもブレなくなります。

パッケージのバージョンを固定することで、