npm là gì và package.json cùng lockfile làm gì?

Question

Accepted Answer

**npm** (Node Package Manager) là công cụ mặc định của Node để cài đặt và quản lý các gói bên thứ ba (dependencies) và chạy script dự án. Hai file định nghĩa một dự án: **`package.json`** (manifest) và **`package-lock.json`** (cây dependency chính xác).

## package.json — manifest của dự án

```json
{
  "name": "my-app",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node server.js",
    "dev": "nodemon server.js",
    "test": "vitest"
  },
  "dependencies": {        // cần lúc CHẠY
    "express": "^4.18.0"
  },
  "devDependencies": {     // chỉ cần khi PHÁT TRIỂN (test, build)
    "vitest": "^1.0.0"
  }
}
```

Nó ghi lại metadata, script và dependencies. `^4.18.0` là một **dải semver** — `^` cho phép cập nhật minor/patch tương thích (4.x.x nhưng không phải 5.0.0).

## Lockfile — cài đặt chính xác, tái lập được

```text
package.json nói:   express ^4.18.0  (một DẢI — có thể cài 4.18.0 hoặc 4.19.2...)
package-lock.json:  express 4.18.2   (phiên bản CHÍNH XÁC + mọi dependency lồng nhau)
```

Lockfile ghim phiên bản **chính xác** của mọi gói (kể cả dependency gián tiếp) đã được cài. Điều này đảm bảo mọi người trong nhóm — và CI, và production — đều có cây dependency *giống hệt*, ngăn lỗi kiểu "chạy được trên máy tôi" do trôi phiên bản.

## Các lệnh chính

```bash
npm install              # cài tất cả dep từ package.json (cập nhật lockfile)
npm install express      # thêm một dependency
npm install -D vitest    # thêm một devDependency
npm ci                   # cài CHÍNH XÁC từ lockfile (dùng trong CI — nhanh, nghiêm)
npm run dev              # chạy một script định nghĩa trong package.json
```

`npm ci` (so với `npm install`) cài đúng theo lockfile mà không sửa nó — lệnh đúng để tái lập trong CI/production.

## Commit lockfile

```text
✓ LUÔN commit package-lock.json → cài đặt tái lập được trên toàn nhóm & CI
```

## Tại sao điều này quan trọng

npm và hai file này là nền tảng của mọi dự án Node.

Hiểu `package.json` (dependencies vs devDependencies, dải semver, script) và đặc biệt **vì sao lockfile tồn tại** (cài đặt xác định, tái lập được cho toàn bộ cây dependency) là thiết yếu — commit lockfile và dùng `npm ci` trong CI ngăn các lỗi tinh vi, khó debug do đồng đội hoặc production nhận phiên bản gói khác nhau.