npm通过node_modules/.bin、npm scripts和npx三机制安全调用本地二进制工具：.bin目录统一导出可执行文件；scripts自动注入PATH；npx按需查找执行，支持本地或远程，避免全局污染。
JavaScript 项目中，npm 依赖包里的二进制可执行文件（如 tsc、eslint、webpack）默认不会直接出现在系统 PATH 中，但 npm 提供了三套协同机制来安全、便捷地调用它们：通过 node_modules/.bin 目录、npm scripts 和 npx。核心逻辑是“不污染全局环境，按需隔离执行”。
node_modules/.bin 是所有本地二进制文件的统一出口
当你运行 npm install eslint 或 npm install -D typescript 时，npm 会解析该包 package.json 中的 bin 字段（例如 "bin": {"eslint": "./bin/eslint.js"}），然后在项目根目录下的 node_modules/.bin/ 中创建对应名称的可执行脚本（Linux/macOS 是符号链接，Windows 是 .cmd 批处理文件）。
-
node_modules/.bin/eslint和node_modules/.bin/tsc就是实际可执行入口 - 这些脚本自动注入了正确的 Node.js 解释器路径和模块解析上下文，确保能正确加载包内依赖
- 你**可以**直接运行
./node_modules/.bin/eslint src/，但一般不手动敲这么长路径
npm scripts 自动注入 .bin 到 PATH
在 package.json 的 scripts 字段里定义命令时，npm run 会临时把 node_modules/.bin 加入当前进程的 PATH 环境变量。
- 例如：
"scripts": {"lint": "eslint --fix src/"} - 执行
npm run lint时，系统能直接找到eslint，无需写完整路径 - 这是最推荐、最安全的日常使用方式——语义清晰、环境隔离、版本锁定
npx 按需查找并执行，支持本地或远程
npx 是 npm 内置的执行器，查找顺序为：当前目录 → node_modules/.bin → 向上遍历最近的 node_modules/.bin → 缓存安装远程包。
立即学习“Java免费学习笔记（深入）”；
- 如果项目已装
webpack，npx webpack --config webpack.config.js会直接调用本地版本 - 如果没装，
npx create-react-app my-app会临时下载、执行、清理，不留下任何依赖痕迹 - 加
--no-install可强制只查本地，避免意外联网安装
不建议也不需要手动把 node_modules/.bin 加入系统 PATH
虽然把 ./node_modules/.bin 加到 shell 的全局 PATH 能让你在终端任意位置敲 eslint，但这会带来明显风险：
- 不同项目可能依赖不同版本的同名工具（如 v4 和 v8 的
prettier），全局 PATH 会优先命中第一个，导致行为不一致 - 容易与全局安装的工具冲突，调试困难
- CI/CD 环境或新开发者机器上不可靠，破坏可复现性
