npm (Node Package Manager) er Node's standardverktøy for å installere og håndtere tredjepartsmodifier (avhengigheter) og kjøre prosjektskript. To filer definerer et prosjekt: package.json (manifestet) og package-lock.json (det eksakte avhengighetstreet).
Det registrerer metadata, skript og avhengigheter. ^4.18.0 er et semver-område — ^ tillater kompatible minor/patch-oppdateringer (4.x.x men ikke 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Låsfilen fester den nøyaktige versjonen av hver modifikasjon (inkludert transitive avhengigheter) som ble installert. Dette garanterer at alle i teamet — og CI, og produksjon — får det identiske avhengighetstreet, noe som forhindrer "fungerer på maskinen min"-feil fra versjonsdrift.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (i motsetning til npm install) installerer strengt fra låsfilen uten å endre den — riktig kommando for reproduserbarhet i CI/produksjon.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm og disse to filene er grunnlaget for hvert Node-prosjekt.
Å forstå package.json (avhengigheter vs devDependencies, semver-områder, skript) og spesielt hvorfor låsfilen finnes (deterministiske, reproduserbare installasjoner av hele avhengighetstreet) er essensielt — å committe låsfilen og bruke npm ci i CI forhindrer subtile, vanskelig debuggbare feil forårsaket av at teammedlemmer eller produksjon får forskjellige pakkeversjoner.