pnpm i & pnpm-lock & node_modules

pnpm i 执行后，pnpm-lock.yaml 和 node_modules 是密切关联但作用不同的两个关键部分，它们共同保证了项目依赖的一致性和可复现性，具体关系如下：

1. 核心作用对比

• pnpm-lock.yaml：
  是一个 依赖锁文件，本质是一个文本文件，用于 精确记录项目依赖的版本、下载源、依赖树结构以及每个包的哈希值。
  它就像一份 “依赖快照”，会固定所有依赖（包括直接依赖和间接依赖）的具体版本，确保任何人、任何环境执行 pnpm i 时，安装的依赖完全一致。

• node_modules：
  是一个 实际存放依赖包代码的目录，pnpm i 会根据 pnpm-lock.yaml（或 package.json）的描述，将依赖包下载并存储到这里，供项目运行时调用。

2. 两者的关联流程（pnpm i 执行时）

1. 检查锁文件：
   执行 pnpm i 时，pnpm 会先查看是否存在 pnpm-lock.yaml：

   • 若存在：严格按照锁文件中记录的版本和依赖关系下载依赖，直接生成 node_modules（速度更快，因为无需重新解析依赖）。
   • 若不存在：先根据 package.json 解析依赖关系，计算出具体版本，生成 pnpm-lock.yaml，再根据锁文件下载依赖到 node_modules。

2. 锁文件驱动 node_modules 的结构：
   pnpm 采用 硬链接 + 符号链接 的独特方式管理 node_modules（不同于 npm/yarn 的扁平结构），而这种结构的生成规则完全由 pnpm-lock.yaml 中记录的依赖树决定。
   例如，锁文件中记录的某个包的版本和依赖项，会直接决定它在 node_modules 中的链接路径和依赖指向。

3. 更新机制：
   当修改 package.json（如新增 / 删除依赖、修改版本范围）并执行 pnpm i 时：

   • pnpm 会重新解析依赖，更新 pnpm-lock.yaml 中的版本和依赖树。
   • 同时根据新的锁文件，更新 node_modules 目录（添加新包、删除无用包、替换版本不符的包）。

3. 为什么需要同时存在？

• pnpm-lock.yaml 保证一致性：
  没有锁文件时，不同人 / 环境执行 pnpm i 可能因 package.json 中版本范围（如 ^1.0.0、~2.3.0）下载到不同小版本的依赖，导致项目运行不一致（甚至报错）。锁文件固定了所有版本，解决了这个问题。

• node_modules 提供运行时依赖：
  锁文件只是 “记录”，而 node_modules 是实际的代码存储目录，项目运行时（如执行 pnpm dev）需要从这里读取依赖包的代码。

总结

• pnpm-lock.yaml 是 “说明书”，记录依赖的精确信息，确保安装一致性；
• node_modules 是 “仓库”，根据 “说明书” 存放实际的依赖代码，供项目调用。
• pnpm i 的核心逻辑就是：根据锁文件（或生成锁文件），构建出对应的 node_modules 目录。

因此，开发中通常会将 pnpm-lock.yaml 提交到 Git 仓库，而 node_modules 则会被忽略（通过 .gitignore），这样团队成员拉取代码后执行 pnpm i，就能得到完全一致的依赖环境