npm

Node.js 包管理器

补充说明

npm 负责 Node.js 项目的依赖安装、脚本执行、发布和审计。CI 中应优先用 npm ci，本地开发用 npm install，两者对 lockfile 的处理不同。

常用示例

npm init -y
npm install
npm ci                         # 严格按 lockfile 安装，CI 首选
npm install express
npm install --save-dev typescript
npm install --omit=dev          # 只装生产依赖
npm run build
npm run build -- --watch        # 透传参数
npm exec -- tsc --version
npm outdated
npm audit
npm view express version
npm ls --depth=0
npm pkg set scripts.test="node --test"

易错点与排错

• npm ci 要求 package-lock.json 存在且与 package.json 一致；不一致会直接失败。
• lockfile 冲突不要手改；用 npm install 重新生成并提交。
• npm install -g 的全局包不在项目依赖里；CI 和容器里通常不该依赖全局安装。
• --force 和 npm audit fix --force 会跨大版本升级，可能直接破坏构建。
• lifecycle 脚本会执行任意代码；不可信依赖先用 --ignore-scripts 审查。
• 私有 registry 和 scope 要在 .npmrc 配好；认证信息不要提交到仓库。
• workspaces 下依赖会被提升；排查“本地能跑、CI 不能跑”先看 npm ls 的实际版本。
• Node 版本和 npm 版本绑定；换 Node 时确认 npm 行为是否变化。

相关命令

• npx — 执行包内命令
• pnpm — 更节省磁盘的包管理器
• yarn — 另一种包管理器