npm کیا ہے اور package.json اور lockfile کیا کام کرتے ہیں؟

Question

Accepted Answer

**npm** (Node Package Manager) Node کا ڈیفالٹ ٹول ہے جو تیسری طرف کے پیکجز (dependencies) کو انسٹال اور منظم کرنے اور پروجیکٹ scripts کو چلانے کے لیے ہے۔ دو فائلیں ایک پروجیکٹ کو بیان کرتی ہیں: **`package.json`** (manifest) اور **`package-lock.json`** (درست dependency tree)۔

## package.json — پروجیکٹ manifest

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // needed at RUNTIME
    "express": "^4.18.0"
  },
  "devDependencies": {     // needed only for DEVELOPMENT (testing, building)
    "vitest": "^1.0.0"
  }
}
```

یہ metadata، scripts، اور dependencies کو ریکارڈ کرتا ہے۔ `^4.18.0` ایک **semver range** ہے — `^` compatible minor/patch updates کی اجازت دیتا ہے (4.x.x لیکن 5.0.0 نہیں)۔

## lockfile — درست، قابلِ تکرار انسٹالز

```text
package.json says:  express ^4.18.0  (a RANGE — could install 4.18.0 or 4.19.2...)
package-lock.json:  express 4.18.2   (the EXACT version + every nested dependency)
```

Lockfile ہر پیکج کا **صحیح** ورژن (transitive dependencies سمیت) pin کرتا ہے جو انسٹال ہوا تھا۔ یہ ٹیم میں سب کو — اور CI کو، اور production کو — *یکساں* dependency tree دینے کی ضمانت دیتا ہے، جو version drift سے "works on my machine" bugs کو روکتا ہے۔

## اہم commands

```bash
npm install              # install all deps from package.json (updates lockfile)
npm install express      # add a dependency
npm install -D vitest    # add a devDependency
npm ci                   # install EXACTLY from the lockfile (used in CI — fast, strict)
npm run dev              # run a script defined in package.json
```

`npm ci` (`npm install` کے بجائے) lockfile سے سختی سے انسٹال کرتا ہے بغیر اسے ترمیم کیے — CI/production reproducibility کے لیے صحیح command۔

## lockfile کو commit کریں

```text
✓ ALWAYS commit package-lock.json → reproducible installs across the team & CI
```

## یہ کیوں اہم ہے

npm اور یہ دونوں فائلیں ہر Node پروجیکٹ کی بنیاد ہیں۔

`package.json` کو سمجھنا (dependencies vs devDependencies، semver ranges، scripts) اور خاص طور پر **lockfile کیوں موجود ہے** (deterministic، reproducible installs of the entire dependency tree) ضروری ہے — lockfile کو commit کرنا اور CI میں `npm ci` استعمال کرنا ٹیم کے ساتھیوں یا production کے مختلف پیکج ورژن حاصل کرنے سے پیدا ہونے والی پیچیدہ، debug کرنا مشکل failures سے بچاتا ہے۔