package.json 与 yarn.lock 如何决定最终的依赖版本

Question

yarn.lock 对一个依赖的描述如下

"@bilibili-live/test-lock@^1.0.0":  // package.json 中指定的版本
  version "1.0.2"                             // 实际安装到 node_modules 中的版本
  resolved ...
  integrity ...

1. 如果 package.json，node_modules 中依赖的版本与 lock 文件完全匹配，则执行 yarn install 的时候不会下载该依赖
2. 如果 package.json，yarn.lock 存在，且 package.json 的版本 yarn.lock 匹配（比如构建机器上），但不存在 node_modules，则下载 yarn.lock 中 verion 指定的版本
3. 任意一个不匹配，则下载符合 package.json 中指定的最新版本（带符号的参考 https://docs.npmjs.com/about-semantic-versioning ），并更新 yarn.lock 文件