Apa itu npm dan apa yang dilakukan oleh package.json dan lockfile?

Question

Accepted Answer

**npm** (Node Package Manager) adalah alat bawaan Node untuk menginstal dan mengelola paket pihak ketiga (dependencies) serta menjalankan skrip proyek. Dua file mendefinisikan proyek: **`package.json`** (manifest) dan **`package-lock.json`** (pohon dependencies yang tepat).

## package.json — manifest proyek

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // needed at RUNTIME
    "express": "^4.18.0"
  },
  "devDependencies": {     // needed only for DEVELOPMENT (testing, building)
    "vitest": "^1.0.0"
  }
}
```

Ini mencatat metadata, skrip, dan dependencies. `^4.18.0` adalah **semver range** — `^` memungkinkan pembaruan minor/patch yang kompatibel (4.x.x tetapi bukan 5.0.0).

## Mengapa ini penting

```text
package.json says:  express ^4.18.0  (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json:  express 4.18.2   (the EXACT version + every nested dependency)
```

Lockfile menetapkan versi **presisi** dari setiap paket (termasuk dependencies transitif) yang diinstal. Ini menjamin bahwa semua orang di tim — dan CI, dan produksi — mendapatkan pohon dependencies yang *identik*, mencegah bug "works on my machine" dari pergeseran versi.

## Perintah utama

```bash
npm install              # install all deps from package.json (updates lockfile)
npm install express      # add a dependency
npm install -D vitest    # add a devDependency
npm ci                   # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev              # run a script defined in package.json
```

`npm ci` (vs `npm install`) menginstal secara ketat dari lockfile tanpa memodifikasinya — perintah yang benar untuk reprodukabilitas CI/produksi.

## Komit lockfile

```text
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
```

## Mengapa ini penting

npm dan dua file ini adalah fondasi dari setiap proyek Node.

Memahami `package.json` (dependencies vs devDependencies, semver ranges, skrip) dan khususnya **mengapa lockfile ada** (instalasi yang deterministik dan dapat direproduksi dari seluruh pohon dependencies) sangat penting — melakukan komit lockfile dan menggunakan `npm ci` di CI mencegah kegagalan yang halus dan sulit di-debug yang disebabkan oleh rekan setim atau produksi yang mendapatkan versi paket yang berbeda.