npm (Node Package Manager) ialah alat lalai Node untuk memasang dan menguruskan pakej pihak ketiga (kebergantungan) dan menjalankan skrip projek. Dua fail menentukan projek: package.json (manifest) dan package-lock.json (pokok kebergantungan yang tepat).
Ia merekodkan metadata, skrip, dan kebergantungan. ^4.18.0 ialah julat semver — ^ membenarkan kemas kini minor/patch yang serasi (4.x.x tetapi bukan 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Fail kunci menetapkan versi tepat setiap pakej (termasuk kebergantungan transitif) yang telah dipasang. Ini menjamin bahawa semua orang dalam pasukan — dan CI, dan pengeluaran — mendapat pokok kebergantungan yang sama, mencegah ralat "berfungsi di mesin saya" dari hanyutan versi.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (berbanding npm install) memasang dengan ketat dari fail kunci tanpa mengubahnya — arahan yang betul untuk kebolehreproduksian CI/pengeluaran.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm dan dua fail ini adalah asas setiap projek Node.
Memahami package.json (kebergantungan vs devDependencies, julat semver, skrip) dan terutamanya mengapa fail kunci wujud (pemasangan determinan dan boleh dihasilkan semula bagi seluruh pokok kebergantungan) adalah penting — melakukan komitmen pada fail kunci dan menggunakan npm ci dalam CI mencegah kegagalan halus dan sukar dinyahpepijat yang disebabkan oleh rakan sekerja atau pengeluaran mendapat versi pakej yang berbeza.