npm (Node Package Manager) est l'outil par défaut de Node pour installer et gérer les packages tiers (dépendances) et exécuter les scripts du projet. Deux fichiers définissent un projet : package.json (le manifeste) et package-lock.json (l'arborescence exacte des dépendances).
C'est important parce que npm et ces deux fichiers sont la fondation de chaque projet Node.
{
"name": "my-app",
"version": "1.0.0",
"type": "module",
"scripts": {
"start": "node server.js",
"dev": "nodemon server.js",
"test": "vitest"
},
"dependencies": { // needed at RUNTIME
"express": "^4.18.0"
},
"devDependencies": { // needed only for DEVELOPMENT (testing, building)
"vitest": "^1.0.0"
}
}
Il enregistre les métadonnées, les scripts et les dépendances. Le ^4.18.0 est une plage semver — ^ autorise les mises à jour mineures et correctifs compatibles (4.x.x mais pas 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Le lockfile épingle la version précise de chaque package (y compris les dépendances transitives) qui a été installée. Cela garantit que tout le monde dans l'équipe — et CI, et la production — obtient le même arborescence de dépendances, prévenant les bugs "ça marche sur ma machine" causés par la dérive des versions.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (vs npm install) installe strictement à partir du lockfile sans le modifier — la bonne commande pour la reproductibilité en CI/production.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
Comprendre package.json (dependencies vs devDependencies, plages semver, scripts) et surtout pourquoi le lockfile existe (installations déterministes et reproductibles de toute l'arborescence des dépendances) est essentiel — valider le lockfile et utiliser npm ci en CI prévient les défaillances subtiles et difficiles à déboguer causées par des coéquipiers ou la production obtenant des versions de packages différentes.