Ce este npm și ce fac package.json și lockfile?

Question

Accepted Answer

**npm** (Node Package Manager) este instrumentul implicit al Node pentru instalarea și gestionarea pachetelor terță parte (dependențe) și execuția scripturilor de proiect. Două fișiere definesc un proiect: **`package.json`** (manifestul) și **`package-lock.json`** (arborele exact de dependențe).

## package.json — manifestul proiectului

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // needed at RUNTIME
    "express": "^4.18.0"
  },
  "devDependencies": {     // needed only for DEVELOPMENT (testing, building)
    "vitest": "^1.0.0"
  }
}
```

Înregistrează metadate, scripturi și dependențe. `^4.18.0` este un **interval semver** — `^` permite actualizări compatibile de minor/patch (4.x.x dar nu 5.0.0).

## Lockfile — instalări exacte și reproductibile

```text
package.json says:  express ^4.18.0  (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json:  express 4.18.2   (the EXACT version + every nested dependency)
```

Lockfile fixează versiunea **precisă** a fiecărui pachet (inclusiv dependențele tranzitive) care a fost instalat. Aceasta garantează că toată echipa — și CI, și producția — primesc *acelașul* arbore de dependențe, prevenind erorile „funcționează pe mașina mea" cauzate de deriva de versiuni.

## Comenzi principale

```bash
npm install              # install all deps from package.json (updates lockfile)
npm install express      # add a dependency
npm install -D vitest    # add a devDependency
npm ci                   # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev              # run a script defined in package.json
```

`npm ci` (vs `npm install`) instalează strict din lockfile fără a-l modifica — comanda corectă pentru reproductibilitate CI/producție.

## Commitați lockfile-ul

```text
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
```

## De ce conteaza

npm și aceste două fișiere sunt fundamentul fiecărui proiect Node.

Înțelegerea `package.json` (dependențe vs devDependencies, intervale semver, scripturi) și în special **de ce lockfile-ul există** (instalări deterministe, reproductibile ale întregului arbore de dependențe) este esențială — commitarea lockfile-ului și utilizarea `npm ci` în CI previne erorile subtile, greu de depanate cauzate de coechipieri sau producție care primesc versiuni diferite de pachete.