npm 5.x 发布以来到现在的5.6.0 lock的作用变更过好多次，现在网上很多小白文都是停留在以前的文档翻译。从npm3.x更新到了npm5，但是发现执行 npm i 时的现象跟网络上的科普文不太一致。有提到不管怎么修改package.json文件，重复执行npm i，npm都会根据lock文件描述的版本信息进行下载。也有提到重复npm i时，npm会不顾lock的信息，根据package.json中的包Semantic versioning 版本信息下载更新模块（lock貌似没啥用了）。查阅资料得知，自npm 5.0版本发布以来，npm i的规则发生了三次变化。

1. npm 5.0.x 版本，不管package.json怎么变，npm i 时都会根据lock文件下载package-lock.json file not updated after package.json file is changed · Issue #16866 · npm/npm这个 issue 控诉了这个问题，明明手动改了package.json，为啥不给我升级包！然后就导致了5.1.0的问题...
2. 5.1.0版本后 npm install 会无视lock文件 去下载最新的npm然后有人提了这个issue why is package-lock being ignored? · Issue #17979 · npm/npm控诉这个问题，最后演变成5.4.2版本后的规则。
3. 5.4.2版本后 why is package-lock being ignored? · Issue #17979 · npm/npm大致意思是，如果改了package.json，且package.json和lock文件不同，那么执行npm i时npm会根据package中的版本号以及语义含义去下载最新的包，并更新至lock。如果两者是同一状态，那么执行npm i 都会根据lock下载，不会理会package实际包的版本是否有新。