通过运行 npm install 命令，可以读取项目根目录下的 package.json 文件，自动下载并安装所有声明的依赖包到 node_modules 目录中。该过程会优先使用本地缓存，若版本范围允许则可能更新补丁版本，同时生成或更新 package-lock.json 以锁定确切版本。开发者只需确保 package.json 配置正确，即可在任意环境中复现一致的依赖环境。
如何初始化一个包含依赖的项目
使用 npm init -y 可以快速生成默认的 package.json 文件，这是管理依赖的基础。该命令会在当前目录创建一个包含基本元数据的 JSON 文件，后续可以通过 npm install <package-name></package-name> 将包添加到此文件中。执行后，package.json 的 dependencies 字段会自动记录新安装的包及其版本号，从而确立项目的依赖关系。
{
"name": "my-project",
"version": "1.0.0",
"description": "",
"main": "index.js",
"scripts": {
"test": "echo \"Error: no test specified\" && exit 1"
},
"keywords": [],
"author": "",
"license": "ISC"
}
上述代码展示了初始化后的标准结构。此时 dependencies 字段为空，等待后续安装操作填充。开发者可以直接编辑此文件手动添加依赖，但推荐使用命令行工具以确保格式和版本范围的准确性。安装任何包后，该文件即成为依赖管理的核心依据。
立即学习“Java免费学习笔记（深入）”；
安装特定版本的依赖包
在 package.json 中指定依赖时，可以使用精确版本号、波浪号（~）或插入符号（^）来控制更新策略。默认情况下，npm install 使用插入符号，允许安装兼容的最新次要版本和补丁版本。若需锁定确切版本，可在包名后加上 @<version></version>，例如 lodash@4.17.21。这种机制确保了在不同时间安装时，只要主版本不变，就能获得预期的功能集，同时享受安全补丁。
npm install express@4.18.2 npm install lodash@~4.17.0 npm install axios@^1.4.0
这三行命令演示了不同版本控制符的使用。第一行安装确切的 4.18.2 版本；第二行安装 4.17.x 中最新的补丁版本；第三行安装 1.4.x 中最新的补丁版本，但不包括 1.5.0。这些命令会更新 package.json 中的对应条目，并在 package-lock.json 中记录实际安装的哈希值。开发者应根据项目稳定性要求选择合适的版本控制策略，避免意外的大版本升级导致破坏性变更。
如何处理 node_modules 目录过大问题
node_modules 目录通常体积庞大，因为每个包都可能包含自己的依赖树。为减少磁盘占用，可以启用 npm 的硬链接功能，或者在生产环境中仅安装生产依赖。使用 npm install --production 或设置 NODE_ENV=production 环境变量，可以跳过 devDependencies 的安装。此外，定期清理未使用的包或使用 npm prune 可以移除 package.json 中未声明的依赖，保持目录整洁。
