npm (Node Package Manager) on Noden oletustyöväline kolmannen osapuolen pakettien (riippuvuuksien) asentamiseen ja hallintaan sekä projektisarjojen ajamiseen. Kaksi tiedostoa määrittelevät projektin: package.json (manifest) ja package-lock.json (tarkka riippuvuuspuu).
Se tallentaa metatiedot, skriptit ja riippuvuudet. ^4.18.0 on semver-alue — ^ sallii yhteensopivat minor/patch-päivitykset (4.x.x mutta ei 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Lukitustiedosto lukitsee jokaisen asennetun paketin tarkan version (mukaan lukien transitiiviset riippuvuudet). Tämä takaa, että kaikki tiimissä — ja CI, ja tuotanto — saavat identtisen riippuvuuspuun, mikä estää "toimii omalla koneellani" -virheitä version ajautumisesta.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (verrattuna npm install) asentaa tiukasti lukitustiedostosta muuttamatta sitä — oikea komento CI/tuotannon toistettavuudelle.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm ja nämä kaksi tiedostoa ovat jokaisen Node-projektin perusta.
Ymmärtäminen package.json (riippuvuudet vs devDependencies, semver-alueet, skriptit) ja erityisesti miksi lukitustiedosto on olemassa (deterministiset, toistettavat asennus koko riippuvuuspuusta) on olennaista — lukitustiedostoon sitoutuminen ja npm ci:n käyttö CI:ssä estää hienovaraisia, vaikeasti debugattavia virheitä, joita aiheutuu siitä, että tiimin jäsenet tai tuotanto saavat eri pakettiversioita.