核心是统一规则而非工具选择：npm作为默认工具生态最稳，需强制执行npm init -y初始化、严格区分四类依赖、提交package-lock.json、CI中使用npm ci、定期清理未维护依赖。
规范团队前端包管理，核心不是选 npm 还是 Yarn，而是统一规则、明确职责、控制变更。npm 作为 Node.js 默认工具，生态最稳、CI 支持最成熟，适合大多数团队落地执行。
统一初始化与 package.json 管理
所有新项目必须运行 npm init -y 生成标准 package.json，禁用手动创建或复制修改——字段缺失（如 "type": "module"）、引号不一致、字段顺序错乱都可能引发构建或模块解析异常。团队可维护一个最小模板（含基础 scripts、repository、license），通过脚本自动注入。
package.json 中的 name 和 version 为必填项，命名需小写、短横线分隔、避免与现有 npm 包冲突；版本号严格遵循 SemVer（如 1.2.3），不使用 latest 或 beta 等模糊标识。
依赖分类必须清晰且不可混用
区分四类依赖，写入对应字段：
立即学习“Java免费学习笔记（深入）”；
-
dependencies：运行时真正调用的库，如 React、Axios、Lodash。安装命令为
npm install axios -
devDependencies：仅开发/构建/测试阶段使用，如 Vite、ESLint、Jest。安装命令为
npm install eslint -D -
peerDependencies：插件类包声明所兼容的宿主环境，如自研 UI 组件库需声明
"react": ">=18.0.0"，由使用者自行安装 -
optionalDependencies：非关键、可降级的依赖，如
fsevents（仅 macOS 加速文件监听），失败不影响主流程
严禁把开发工具写进 dependencies，否则会增大生产包体积、触发安全扫描误报。
锁定版本与 CI/CD 流程强约束
package-lock.json 必须提交到 Git，它是安装结果的权威快照，删掉或忽略将导致本地与 CI 构建结果不一致。
CI 环境一律使用 npm ci 替代 npm install：
– 跳过解析 package.json，直接按 lock 文件精确还原依赖树
– 安装更快、更确定，且在 lock 文件缺失或不匹配时直接报错，不静默降级
团队应约定：合并前若 package-lock.json 冲突，先确认 package.json 已正确合入，再本地执行 npm install 重新生成 lock 文件，而非手动编辑。
定期清理与版本更新机制
不维护的依赖比错误的依赖更危险。建议每季度执行：
-
npm outdated查看可升级项，重点关注 major 版本变化（带 breaking change） -
npm ls <package></package>检查是否被多层间接依赖引入，避免隐式冗余 -
npm prune清理 node_modules 中未在 package.json 声明的包 - 对长期未更新的 devDependency（如旧版 Babel 插件），评估替换或移除
禁用全局安装业务相关依赖（如 npm install -g vite），所有构建命令必须通过 npm run build 调用本地 node_modules/.bin 下的二进制，保障环境一致性。
