npm คืออะไร และ package.json และ lockfile ทำอะไร?

Question

Accepted Answer

**npm** (Node Package Manager) เป็นเครื่องมือเริ่มต้นของ Node สำหรับการติดตั้งและจัดการ packages (dependencies) ของบุคคลที่สาม และการรัน project scripts ไฟล์สองไฟล์กำหนด project: **`package.json`** (manifest) และ **`package-lock.json`** (dependency tree ที่ชัดเจน).

## package.json — project manifest

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // needed at RUNTIME
    "express": "^4.18.0"
  },
  "devDependencies": {     // needed only for DEVELOPMENT (testing, building)
    "vitest": "^1.0.0"
  }
}
```

มันบันทึก metadata, scripts, และ dependencies `^4.18.0` เป็น **semver range** — `^` อนุญาต compatible minor/patch updates (4.x.x แต่ไม่ใช่ 5.0.0).

## lockfile — ติดตั้งที่ชัดเจนและสามารถทำซ้ำได้

```text
package.json says:  express ^4.18.0  (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json:  express 4.18.2   (the EXACT version + every nested dependency)
```

Lockfile pin เวอร์ชันที่ **ชัดเจน** ของทุก package (รวมถึง transitive dependencies) ที่ติดตั้งแล้ว สิ่งนี้รับประกันว่าทุกคนในทีม — และ CI, และ production — ได้รับ *identical* dependency tree เป็นการป้องกัน "works on my machine" bugs จาก version drift

## commands หลัก

```bash
npm install              # install all deps from package.json (updates lockfile)
npm install express      # add a dependency
npm install -D vitest    # add a devDependency
npm ci                   # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev              # run a script defined in package.json
```

`npm ci` (เทียบกับ `npm install`) ติดตั้งจาก lockfile อย่างเคร่งครัดโดยไม่ปรับเปลี่ยน — คำสั่งที่ถูกต้องสำหรับ CI/production reproducibility

## Commit lockfile

```text
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
```

## ทำไมมันจึงสำคัญ

npm และไฟล์สองนี้เป็นรากฐานของ project Node ทุกรายการ

การทำความเข้าใจ `package.json` (dependencies vs devDependencies, semver ranges, scripts) และโดยเฉพาะ **ทำไม lockfile จึงมีอยู่** (deterministic, reproducible installs of the entire dependency tree) จำเป็น — การ commit lockfile และใช้ `npm ci` ใน CI ป้องกันความล้มเหลว subtle, hard-to-debug ที่เกิดจากเพื่อนร่วมทีมหรือ production ที่ได้รับ package versions ที่แตกต่างกัน