Was ist npm und was bewirken package.json und die Lockdatei?

Question

Accepted Answer

**npm** (Node Package Manager) ist Nodes Standard-Tool zum Installieren und Verwalten von Drittanbieter-Paketen (Abhängigkeiten) und zum Ausführen von Projekt-Scripts. Zwei Dateien definieren ein Projekt: **`package.json`** (das Manifest) und **`package-lock.json`** (der genaue Abhängigkeitsbaum).

## Warum es wichtig ist

Es ist wichtig, weil npm und diese beiden Dateien das Fundament jedes Node-Projekts bilden.

### package.json — das Projekt-Manifest

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // needed at RUNTIME
    "express": "^4.18.0"
  },
  "devDependencies": {     // needed only for DEVELOPMENT (testing, building)
    "vitest": "^1.0.0"
  }
}
```

Es speichert Metadaten, Scripts und Abhängigkeiten. Das `^4.18.0` ist ein **semver-Bereich** — `^` erlaubt kompatible Minor- und Patch-Updates (4.x.x aber nicht 5.0.0).

### Die Lockdatei — exakte, reproduzierbare Installationen

```text
package.json says:  express ^4.18.0  (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json:  express 4.18.2   (the EXACT version + every nested dependency)
```

Die Lockdatei fixiert die **genaue** Version jedes Pakets (einschließlich transitiver Abhängigkeiten), das installiert wurde. Dies garantiert, dass jeder im Team — und CI, und Production — den *identischen* Abhängigkeitsbaum erhält, was "funktioniert auf meinem Rechner"-Bugs durch Versionsdrift verhindert.

### Wichtige Befehle

```bash
npm install              # install all deps from package.json (updates lockfile)
npm install express      # add a dependency
npm install -D vitest    # add a devDependency
npm ci                   # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev              # run a script defined in package.json
```

`npm ci` (vs `npm install`) installiert streng aus der Lockdatei ohne diese zu ändern — der richtige Befehl für CI/Production-Reproduzierbarkeit.

### Die Lockdatei committen

```text
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
```

Das Verständnis von `package.json` (dependencies vs devDependencies, semver-Bereiche, Scripts) und besonders **warum die Lockdatei existiert** (deterministische, reproduzierbare Installationen des gesamten Abhängigkeitsbaums) ist essentiell — die Lockdatei zu committen und `npm ci` in CI zu verwenden verhindert subtile, schwer zu debuggende Fehler, die dadurch entstehen, dass Teamkollegen oder Production unterschiedliche Paketversionen erhalten.