npm (Node Package Manager) — это инструмент Node по умолчанию для установки и управления сторонними пакетами (зависимостями) и запуска скриптов проекта. Два файла определяют проект: package.json (манифест) и package-lock.json (точное дерево зависимостей).
Он записывает метаданные, скрипты и зависимости. ^4.18.0 — это диапазон semver — ^ разрешает совместимые обновления minor/patch (4.x.x, но не 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Lockfile фиксирует точную версию каждого пакета (включая транзитивные зависимости), который был установлен. Это гарантирует, что все в команде — и CI, и production — получат идентичное дерево зависимостей, предотвращая ошибки "работает на моей машине" из-за различий в версиях.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (в отличие от npm install) устанавливает строго из lockfile без его изменения — правильная команда для воспроизводимости CI/production.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm и эти два файла — основа каждого проекта Node.
Понимание package.json (dependencies vs devDependencies, диапазоны semver, скрипты) и особенно почему lockfile существует (детерминированные, воспроизводимые установки всего дерева зависимостей) необходимо — коммит lockfile и использование npm ci в CI предотвращает тонкие, сложные в отладке ошибки, вызванные тем, что коллеги или production получают разные версии пакетов.