npm (Node Package Manager) är Nodes standardverktyg för att installera och hantera tredjepartspaket (beroenden) och köra projektskript. Två filer definierar ett projekt: package.json (manifestet) och package-lock.json (det exakta beroendeträdet).
Det registrerar metadata, skript och beroenden. ^4.18.0 är ett semver-intervall — ^ tillåter kompatibla minor/patch-uppdateringar (4.x.x men inte 5.0.0).
package.json says: express ^4.18.0 (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json: express 4.18.2 (the EXACT version + every nested dependency)
Lockfilen låser exakt version av varje paket (inklusive transitiva beroenden) som installerades. Detta garanterar att alla i teamet — och CI, och produktion — får identiska beroendeträd, vilket förhindrar "fungerar på min maskin"-buggar från versionskryp.
npm install # install all deps from package.json (updates lockfile)
npm install express # add a dependency
npm install -D vitest # add a devDependency
npm ci # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev # run a script defined in package.json
npm ci (jämfört med npm install) installerar strikt från lockfilen utan att ändra den — rätt kommando för CI/produktionsreproducerbarhet.
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
npm och dessa två filer är grunden för varje Node-projekt.
Förstå package.json (beroenden vs devDependencies, semver-intervall, skript) och särskilt varför lockfilen finns (deterministiska, reproducerbara installationer av hela beroendeträdet) är essentiellt — commita lockfilen och använd npm ci i CI förhindrar subtila, svåra att felsöka fel orsakade av teamkamrater eller produktion som får olika paketversioner.