npm是Node.js默认集成的包管理器，既是CLI工具也是全球最大的JavaScript开源包生态平台；核心作用包括依赖管理、脚本执行、版本锁定、安全审计和包发布。
npm 是什么，核心作用有哪些？
npm 是 Node.js 默认集成的包管理器，既是命令行工具（CLI），也是全球最大的 JavaScript 开源包生态平台（npmjs.com）。它不只负责“下载库”，更承担依赖管理、脚本执行、版本锁定、安全审计、包发布等工程化职责。
面试中常被问“为什么需要 npm”，回答要落到实际痛点：比如没有它，团队协作时每个人装的 lodash 版本不同，代码可能突然报错；没有 package-lock.json，CI 环境构建结果和本地不一致；没有 scripts 字段，前端构建、测试、部署就得手动敲一长串命令。
package.json 和 package-lock.json 的区别与必要性
package.json 是项目的“说明书”：记录名称、版本、作者、入口文件（main）、启动脚本（scripts）、依赖声明（dependencies/devDependencies）等。它是人可读、可编辑的配置文件，用于描述“项目需要什么”。
package-lock.json 是安装过程的“快照”：精确记录每个包及其所有子依赖的完整版本号、下载地址、完整性校验值（integrity hash）。它的存在是为了确保 install 结果可重现——无论在哪台机器、何时运行 npm install，只要 lock 文件不变，生成的 node_modules 就完全一致。
常见误区提醒：
– 删除 package-lock.json 后重装，很可能引入新版依赖导致隐性 bug；
– npm ci 命令强制只按 lock 文件安装，跳过解析 package.json，专用于 CI/CD 环境，比 npm install 更可靠、更快。
依赖类型、安装参数与语义化版本控制
区分依赖类型是高频考点：
-
dependencies：运行时必需的包，如react、axios；生产环境必须存在 -
devDependencies：仅开发时用的包，如webpack、jest；上线前会被剔除 -
peerDependencies：声明“我期望宿主环境提供什么”，常见于插件类包（如eslint-plugin-react要求宿主已装eslint）；不自动安装，由使用者自行处理
安装命令参数含义：
-
npm install xxx：只装到node_modules，不写入package.json -
npm install xxx --save（或简写-S）：写入dependencies -
npm install xxx --save-dev（或简写-D）：写入devDependencies
语义化版本（SemVer）格式为 MAJOR.MINOR.PATCH，例如 2.4.1：
– ^2.4.1 允许升级到 2.x.x 最新版（兼容性更新）
– ~2.4.1 只允许升级到 2.4.x（修复级更新）
– 2.4.1（无符号）表示严格锁定该版本
node_modules 扁平化与幻影依赖问题
npm 3+ 改用扁平化结构：优先把依赖提升到项目根目录的 node_modules，避免层层嵌套。这解决了 Windows 路径过长、磁盘空间浪费等问题。
但带来一个隐蔽风险：幻影依赖（Phantom Dependency）——某个包 A 没在 package.json 中声明依赖 B，却因 B 被其他包 C 提升安装到了根 node_modules，A 就能直接 require('B')。一旦 C 升级不再依赖 B，A 就会运行时报错。
应对策略：
– 使用 npm ls <pkg> 检查某包是否被显式安装
– 在 CI 中启用 npm ci + 严格 lint（如 import/no-extraneous-dependencies）
– 更彻底的方案：迁移到 pnpm，它通过硬链接+符号链接实现严格依赖隔离，从机制上杜绝幻影依赖
