npm (Node Package Manager) é a ferramenta padrão do Node para instalar e gerenciar pacotes de terceiros (dependências) e executar scripts do projeto. Dois arquivos definem um projeto: package.json (o manifesto) e package-lock.json (a árvore exata de dependências).
Ele registra metadados, scripts e dependências. ^4.18.0 é um intervalo semver — ^ permite atualizações compatíveis de minor/patch (4.x.x mas não 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
O lockfile fixa a versão precisa de cada pacote (incluindo dependências transitivas) que foi instalado. Isso garante que todos da equipe — e CI, e produção — obtenham a mesma árvore de dependências, prevenindo bugs de "funciona na minha máquina" causados por divergência de versões.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (vs npm install) instala estritamente a partir do lockfile sem modificá-lo — o comando correto para reproduzibilidade de CI/produção.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm e esses dois arquivos são a base de todo projeto Node.
Compreender package.json (dependências vs devDependencies, intervalos semver, scripts) e especialmente por que o lockfile existe (instalações determinísticas e reproduzíveis de toda a árvore de dependências) é essencial — confirmar o lockfile e usar npm ci em CI previne falhas sutis e difíceis de depurar causadas por colegas ou produção recebendo versões diferentes de pacotes.