npm (Node Package Manager) er Node's standardværktøj til at installere og administrere tredjepartsintegrationer (afhængigheder) og køre projektscripts. To filer definerer et projekt: package.json (manifestet) og package-lock.json (det nøjagtige afhængighedstræ).
Det registrerer metadata, scripts og afhængigheder. ^4.18.0 er et semver-område — ^ tillader kompatible minor/patch-opdateringer (4.x.x men ikke 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Låsefilen fastlåser den præcise version af hver integrationen (inklusive transitive afhængigheder), der blev installeret. Dette garanterer, at alle i teamet — og CI, og produktion — får det identiske afhængighedstræ, hvilket forhindrer "virker på min maskine"-fejl fra versionsforskydning.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (i forhold til npm install) installerer strengt fra låsefilen uden at ændre den — den rigtige kommando til CI/produktionsreproducerbarhed.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm og disse to filer er grundlaget for ethvert Node-projekt.
At forstå package.json (afhængigheder vs devDependencies, semver-områder, scripts) og især hvorfor låsefilen findes (deterministiske, reproducerbare installationer af hele afhængighedstræet) er væsentligt — at committe låsefilen og bruge npm ci i CI forhindrer subtile, svært-at-debugge fejl forårsaget af, at teamkolleger eller produktion får forskellige pakkeversioner.