npm అంటే ఏమిటి మరియు package.json మరియు lockfile ఎందుకు పని చేస్తాయి?

Question

Accepted Answer

**npm** (Node Package Manager) Node యొక్క డిఫాల్ట్ టూల్ సాధారణ (dependencies) packages-ను ఇన్‌స్టాల్ చేయడానికి మరియు నిర్వహించడానికి మరియు project scripts-ను అమలు చేయడానికి. రెండు ఫైలు ఒక projectని నిర్వచిస్తాయి: **`package.json`** (manifest) మరియు **`package-lock.json`** (exact dependency tree).

## package.json — project manifest

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // needed at RUNTIME
    "express": "^4.18.0"
  },
  "devDependencies": {     // needed only for DEVELOPMENT (testing, building)
    "vitest": "^1.0.0"
  }
}
```

ఇది metadata, scripts, మరియు dependencies-ని రికార్డ్ చేస్తుంది. `^4.18.0` ఒక **semver range** — `^` compatible minor/patch updates-ను అనుమతిస్తుంది (4.x.x కానీ 5.0.0 కాదు).

## lockfile — ఖచ్చితమైన, reproducible installs

```text
package.json says:  express ^4.18.0  (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json:  express 4.18.2   (the EXACT version + every nested dependency)
```

Lockfile ప్రతిটి package యొక్క **precise** version-ను (transitive dependencies సహా) pin చేస్తుంది, ఇది ఇన్‌స్టాల్ చేయబడింది. ఇది team లోని ప్రతి ఒక్కరకు — మరియు CI కు, మరియు production కు — *identical* dependency tree-ను వాస్తవ చేస్తుంది, version drift నుండి "works on my machine" bugs-ను నిరోధిస్తుంది.

## కీ commands

```bash
npm install              # install all deps from package.json (updates lockfile)
npm install express      # add a dependency
npm install -D vitest    # add a devDependency
npm ci                   # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev              # run a script defined in package.json
```

`npm ci` (`npm install` కు బదులుగా) lockfile నుండి కఠినంగా ఇన్‌స్టాల్ చేస్తుంది దానిని సవరించకుండా — CI/production reproducibility కు సరైన command.

## lockfile-ని commit చేయండి

```text
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
```

## ఇది ఎందుకు ముఖ్యమైనది

npm మరియు ఈ రెండు ఫైలు ప్రతిটి Node project యొక్క ఆధారం.

`package.json`-ని అర్థం చేసుకోవడం (dependencies vs devDependencies, semver ranges, scripts) మరియు ప్రత్యేకించి **lockfile ఎందుకు ఉంది** (deterministic, reproducible installs of the entire dependency tree) ఇది అপరిహార్యం — lockfile-ని commit చేయడం మరియు CI లో `npm ci`-ని ఉపయోగించడం teammates లేదా production different package versions-ను పొందటం వల్ల సంభవించే subtle, hard-to-debug failures-ను నిరోధిస్తుంది.