npm (Node Package Manager) yra Node numatytasis įrankis trečiųjų šalių paketams (priklausomybėms) įdiegti, joms valdyti ir projekto scenarijams vykdyti. Du failai apibrėžia projektą: package.json (manifestas) ir package-lock.json (tikslus priklausomybių medis).
Jis įrašo metaduomenis, scenarijus ir priklausomybes. ^4.18.0 yra semver diapazonas — ^ leidžia suderinamas smulkias/taisymo versijas (4.x.x, bet ne 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Lockfile pritvirtina tikslią kiekvieno paketo versiją (įskaitant transityvias priklausomybes), kuri buvo įdiegta. Tai garantuoja, kad visi komandos nariai — ir CI, ir gamyba — gauna identišką priklausomybių medį, todėl išvengiama "veikia mano mašinoje" klaidų dėl versijos skirtumų.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (priešingai nei npm install) diegia griežtai iš lockfile be jo modifikavimo — tinkama komanda CI/gamybos kartotinumui.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm ir šie du failai yra kiekvieno Node projekto pagrindas.
Supratimas apie package.json (priklausomybes vs devDependencies, semver diapazonai, scenarjai) ir ypač kodėl lockfile egzistuoja (deterministiniai, pakartojami viso priklausomybių medžio diegimai) yra būtinas — lockfile įvezdinas ir npm ci naudojimas CI apima subtiles, sunkias atkurti klaidas, sukeltas tuo, kad komandos nariai arba gamyba gauna skirtingas paketų versijas.