npm (Node Package Manager) è lo strumento predefinito di Node per installare e gestire pacchetti di terze parti (dipendenze) ed eseguire script di progetto. Due file definiscono un progetto: package.json (il manifest) e package-lock.json (l'albero esatto delle dipendenze).
Registra metadati, script e dipendenze. ^4.18.0 è un intervallo semver — ^ consente aggiornamenti minori/patch compatibili (4.x.x ma non 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Il lockfile fissa la versione precisa di ogni pacchetto (comprese le dipendenze transitive) che è stato installato. Ciò garantisce che tutti nel team — e CI, e produzione — ottengano l'albero delle dipendenze identico, prevenendo bug "works on my machine" derivanti da variazioni di versione.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (vs npm install) installa rigorosamente dal lockfile senza modificarlo — il comando corretto per la riproducibilità CI/produzione.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm e questi due file sono la base di ogni progetto Node.
Comprendere package.json (dependencies vs devDependencies, intervalli semver, script) e soprattutto perché il lockfile esiste (installazioni deterministiche e riproducibili dell'intero albero delle dipendenze) è essenziale — eseguire il commit del lockfile e utilizzare npm ci in CI previene i fallimenti sottili e difficili da eseguire il debug causati dai compagni di team o dalla produzione che ottengono versioni di pacchetto diverse.