npm (Node Package Manager) is Node's standaardtool voor het installeren en beheren van pakketten van derden (dependencies) en het uitvoeren van projectscripts. Twee bestanden definiëren een project: package.json (het manifest) en package-lock.json (de exacte afhankelijkheidsboom).
Het registreert metagegevens, scripts en dependencies. ^4.18.0 is een semver-bereik — ^ staat compatibele minor/patch-updates toe (4.x.x maar niet 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Het lockfile bepaalt de precieze versie van elk pakket (inclusief transitieve afhankelijkheden) dat is geïnstalleerd. Dit garandeert dat iedereen in het team — en CI, en productie — dezelfde afhankelijkheidsboom krijgt, waardoor "werkt op mijn machine"-bugs vanuit versiedrift worden voorkomen.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (in tegenstelling tot npm install) installeert strikt vanuit het lockfile zonder het aan te passen — het juiste commando voor reproduceerbaarheid in CI/productie.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm en deze twee bestanden vormen de basis van elk Node-project.
Inzicht in package.json (dependencies vs devDependencies, semver-bereiken, scripts) en vooral waarom het lockfile bestaat (deterministische, reproduceerbare installaties van de gehele afhankelijkheidsboom) is essentieel — het committen van het lockfile en het gebruik van npm ci in CI voorkomt subtiele, moeilijk op te sporen fouten veroorzaakt doordat teamleden of productie verschillende pakketversies krijgen.