npm (Node Package Manager) to domyślne narzędzie Node'a do instalowania i zarządzania pakietami trzecich stron (zależnościami) oraz uruchamiania skryptów projektu. Dwa pliki definiują projekt: package.json (manifest) i package-lock.json (dokładne drzewo zależności).
Zapisuje on metadane, skrypty i zależności. ^4.18.0 to zakres semver — ^ pozwala na kompatybilne aktualizacje minor/patch (4.x.x, ale nie 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Plik blokady ustala precyzyjną wersję każdego pakietu (łącznie z zależnościami przechodnimi), które zostały zainstalowane. Gwarantuje to, że każdy w zespole — oraz CI, oraz produkcja — otrzyma identyczne drzewo zależności, zapobiegając błędom typu "działa na moim komputerze" wynikającym z dryfu wersji.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (w porównaniu z npm install) instaluje ściśle z pliku blokady bez go modyfikowania — prawidłowa komenda dla reproducibility CI/produkcji.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm i te dwa pliki stanowią fundament każdego projektu Node'a.
Zrozumienie package.json (dependencies vs devDependencies, zakresy semver, skrypty) i szczególnie dlaczego plik blokady istnieje (deterministyczne, reprodukowalne instalacje całego drzewa zależności) jest niezbędne — zacommitowanie pliku blokady i użycie npm ci w CI zapobiega subtelnym, trudnym do debugowania błędom spowodowanym tym, że kolegowie z zespołu lub produkcja otrzymują różne wersje pakietów.