npm (Node Package Manager) es la herramienta por defecto de Node para instalar y gestionar paquetes de terceros (dependencias) y ejecutar scripts del proyecto. Dos archivos definen un proyecto: package.json (el manifiesto) y package-lock.json (el árbol exacto de dependencias).
Registra metadatos, scripts y dependencias. El ^4.18.0 es un rango semver — ^ permite actualizaciones compatibles de minor/patch (4.x.x pero no 5.0.0).
package.json dice: express ^4.18.0 (un RANGO — podría instalar 4.18.0 o 4.19.2...)
package-lock.json: express 4.18.2 (la versión EXACTA + cada dependencia anidada)
El lockfile fija la versión precisa de cada paquete (incluidas las dependencias transitivas) que se instaló. Esto garantiza que todos en el equipo — y CI, y producción — obtengan el árbol de dependencias idéntico, evitando bugs de "funciona en mi máquina" por desviación de versiones.
npm install # instala todas las deps de package.json (actualiza el lockfile)
npm install express # agrega una dependencia
npm install -D vitest # agrega una devDependency
npm ci # instala EXACTAMENTE desde el lockfile (usado en CI — rápido, estricto)
npm run dev # ejecuta un script definido en package.json
npm ci (a diferencia de npm install) instala estrictamente desde el lockfile sin modificarlo — el comando correcto para la reproducibilidad en CI/producción.
✓ SIEMPRE commitea package-lock.json → instalaciones reproducibles en el equipo y CI
npm y estos dos archivos son la base de todo proyecto Node.
Entender package.json (dependencies vs devDependencies, rangos semver, scripts) y especialmente por qué existe el lockfile (instalaciones deterministas y reproducibles de todo el árbol de dependencias) es esencial — commitear el lockfile y usar npm ci en CI previene fallos sutiles y difíciles de depurar causados por compañeros de equipo o producción obteniendo versiones de paquetes diferentes.