npm (Node Package Manager) je Node-ov zadani alat za instalaciju i upravljanje third-party paketima (dependencies) te pokretanje project skripti. Dva datoteke definiraju projekt: package.json (manifest) i package-lock.json (točno stablo ovisnosti).
Bilježi metapodatke, skripte i ovisnosti. ^4.18.0 je semver raspon — ^ omogućava kompatibilne male/patch ažuriracije (4.x.x ali ne 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Lockfile fiksira točnu verziju svakog paketa (uključujući tranzitivne ovisnosti) koji je instaliran. To jamči da svi u timu — i CI, i produkcija — dobiju identično stablo ovisnosti, što sprječava "radi na mojem računalu" greške od drifta verzija.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (za razliku od npm install) instalira strogo iz lockfile-a bez izmjene — ispravna naredba za CI/produkcijsku reproducibilnost.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm i ove dvije datoteke su temelj svakog Node projekta.
Razumijevanje package.json (dependencies vs devDependencies, semver rasponi, skripte) i posebno zašto lockfile postoji (determinističke, reproducibilne instalacije cijelog stabla ovisnosti) je bitno — commit lockfile-a i korištenje npm ci u CI sprječava suptilne, teške za pronalaženje greške uzrokovane timskim kolegama ili produkcijom koja dobiva različite verzije paketa.