package.jsonでのバージョン指定は完全固定にしよう

バージョン指定ゆるくなってませんか？ 標準の状態でnpm installなどで依存ライブラリを追加すると、package.jsonには こんな形で登録されます。 これは「バージョン5.4.3を使う」の指定ではありません。 最初の^は「0でない最初の数値を固定する」の意味で、この場合は「5.4.3以上かつ6.0.0未満のバージョンを使う」になります。 パッケージマネージャーが参照するlockfile、例えばnpmであればpackage-lock.jsonに具体的な指定があればそのバージョンが使われるし、なければ条件に合致するその時点の最新版がlockfileに登録されます。 この挙動はsemver（semantic versioning）の考え方に基づいた挙動になっています。 semverの基本的な考え方として「メジャーバージョンが同じであれば後方互換性は保たれている」とされるため、こうした