javascript - 如何使用 JSPM 锁定整个依赖关系树？

Question

我正在开发一个具有许多前端依赖项的项目。该项目同时使用 NPM 和 JSPM 来管理这些依赖项。

根据jspm 文档：

所有安装范围都保存在 package.json 文件中，确切的版本解决方案保存在 config.js 中。这两个文件都应该检查到版本控制中。

要将 package.json 的安装复制到 config.js 文件中的确切版本范围，请jspm install不带参数使用：

但是，即使 package.json 设置了明确的版本，存在 package-lock.json 文件和存在 config.js 文件（应该确保一致的 jspm_packages 文件夹），我仍然看到浮动版本运行时显示的信息jspm install- 示例：

ok   Installed npm:buffer@^5.0.6 (5.1.0)
ok   Installed npm:ieee754@^1.1.4 (1.1.11)
ok   Installed npm:base64-js@^1.0.2 (1.3.0)
ok   Installed core-js as npm:core-js@1.1.4 (1.2.7)

任何前端大师都可以告诉我为什么会这样吗？