npm (Node Package Manager) je Nodejev privzeti pripomoček za nameščanje in upravljanje paketov tretjih oseb (odvisnosti) ter zagon skriptov projekta. Dva datoteki definirata projekt: package.json (manifest) in package-lock.json (natančno drevo odvisnosti).
Zabeležni metapodatke, skripte in odvisnosti. ^4.18.0 je obseg semver — ^ dovoljuje kompatibilne posodobitve minor/patch (4.x.x toda ne 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Lockfile pritrdi natančno različico vsakega paketa (vključno s prehodnimi odvisnostmi), ki je bila nameščena. To zagotavlja, da vsi v ekipi — in CI, in produkcija — dobijo enako drevo odvisnosti, kar preprečuje napake "deluje na mojem računalniku" zaradi premikov verzij.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (v primerjavi s npm install) namesti strogo iz lockfile brez njegove spremembe — pravilen ukaz za ponovljivost CI/produkcije.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm in ti dve datoteki sta temelj vsakega Node projekta.
Razumevanje package.json (odvisnosti vs devDependencies, obsegi semver, skripte) in posebej zakaj lockfile obstaja (determinističke, ponovljive namestitve celotnega drevesa odvisnosti) je bistveno — commit lockfile in uporaba npm ci v CI prepreči subtilne, težko razhroščljive napake, ki jih povzročijo soimenjaki ali produkcija, ki prejema različne različice paketov.