npm 是啥？

说实话，你可NengYi经听过hen多次“npm”这个词，但你真的知道它是干啥的吗？害，咱就是说它就是 Node.js 的包管理器。你懂的，就像你手机里的应用商店，只不过这个是给 Node.js 用的，专门用来安装、管理、发布各种第三方模块。

npm 全称是 Node Package Manager，Zui早是跟着 Node.js 一起出来的。后来它慢慢变成了世界上Zui大的软件注册中心，你信不信？反正我是信了毕竟每天有上亿次的下载量，吓人不？

所以简单来说npm 就是前端开发者的“工具箱”，你想要的模块，它基本dou有。你只需要敲几个命令，就Neng把别人写好的代码“搬”到你项目里省时省力，谁用谁知道。

对了它还支持语义化版本控制，就是那个 semver，帮你控制依赖版本，避免“昨天还Neng跑，今天就挂了”的尴尬。

在正式开始之前，咱得先确认一下环境是不是准备好了。你懂的，就像Zuo饭前得先洗菜，对吧？

你得先装好 Node.js。为啥？因为 npm 是跟着 Node.js 一起装的，你没装 Node.js，就别指望 npm Neng跑起来。你Ke以去 Node.js 官网下载 LTS版本，这个Zui稳，不容易出事。

装好之后打开终端，输入：

node -v
npm -v

Ru果Neng正常显示版本号，那说明你Yi经准备好了。不对不对，应该是“环境准备好了”！

有时候因权限问题，需要自定义路径。比如你可Neng会遇到 EACCES 错误，这时候你得改全局安装路径，或者用 chown 命令改权限，比如：

sudo chown -R $ /usr/local/lib/node_modules

那个那个，别急，咱慢慢来。

新建项目的时候，你得先初始化一下生成一个 package.json 文件。这个文件就像你项目的“身份证”，记录了你用了哪些包、版本是啥、作者是谁、许可证是啥…… 它hen重要，别丢了。

初始化命令是：

npm init

然后它会问你一堆问题，比如项目名、版本、描述、入口文件、测试命令啥的。你要是懒，直接敲：

npm init -y

这玩意儿会用默认值生成一个 package.json，你回头再手动改也行。

安装依赖，就是把别人写的代码“搬”到你项目里。比如：

npm install lodash

这行命令会把 lodash 这个库下载到你项目里然后在 package.json 里记录下来。

你也Ke以指定版本：

npm install lodash@4.17.21

安装开发依赖：

npm install jest --save-dev

全局安装：

npm install -g nodemon

⚠️ 注意：全局安装的包不Neng在项目中通过 require 引入，除非你设置了 NODE_PATH。主要用于 CLI 工具。

在 package.json 里你Ke以自定义脚本，比如：

"scripts": {
  "start": "node index.js",
  "dev": "nodemon index.js",
  "test": "jest"
}

然后你就Ke以用：

npm run dev

来启动开发环境，或者：

npm test

来跑测试。是不是hen方便？

你还Ke以设置预钩子和后钩子，比如：

npm run build

它会自动运行 prebuild → build → postbuild，顺序执行脚本，hen智Neng的。

国内网络有时候慢，你Ke以设置淘宝镜像源，加速下载：

npm config set registry https://registry.npmmirror.com

恢复官方源：

npm config set registry https://registry.npmjs.org/

你也Ke以设置全局安装路径，比如：

npm config set prefix ~/.npm-global

然后把路径加到系统环境变量里这样就不会因为权限问题卡住你了。

权限错误 EACCES 怎么办？

错误示例：

Error: EACCES: permission denied, mkdir '/usr/local/lib/node_modules'

解决方案：

改全局安装路径

用 chown 命令改权限

或者用 cross-env 解决跨平台问题

比如 Windows 不支持 NODE_ENV=production，但你Ke以用 cross-env 包：

npm install --save-dev cross-env

然后在 package.json 里加：

"scripts": {
  "start": "cross-env NODE_ENV=production node server.js"
}

用 npm ci 代替 npm install 确保生产环境一致性。

比如在 CI 环境下用：

npm ci

它会严格按照 package-lock.json 安装依赖，不解析版本范围，geng稳定。

扫描漏洞：

npm audit

自动修复可修复的漏洞：

npm audit fix

只修复不破坏 semver 的漏洞：

npm audit fix --only=prod

强制升级到Zui新版本：

npm audit fix --force

Ru果你开发了一个可复用的模块，Ke以发布到 npm 公共仓库供他人使用。

比如：

npm adduser

然后输入用户名、密码、邮箱。

准备发布内容：

确保 package.json 中 name 为唯一且可用

准备 README.md，这是包的文档主页

确定版本号

可选：编写 .npmignore 文件忽略不需要上传的文件

发布：

npm publish

发布 beta 标签版本：

npm publish --tag beta

geng新版本与 发布：

npm version patch   # 1.0.0 -> 1.0.1
npm version minor   # 1.0.0 -> 1.1.0
npm version major   # 1.0.0 -> 2.0.0

撤销发布：

npm unpublish my-package@1.0.0

⚠️ 官方强烈不建议撤销Yi发布的包，因为会被其他项目依赖。Ke以改为弃用：

npm deprecate my-package@"<1.0.0" "This version has a critical bug, please upgrade!"

日常开发工作流：

新建项目：mkdir project && cd project && npm init -y

安装依赖：npm install express --save 与 npm install jest --save-dev

编写代码，使用脚本：npm startnpm test

版本控制：提交 package.json 和 package-lock.json

团队协作：同事克隆后执行 npm ci 而非 npm install

定期geng新：npm outdated 然后 npm update，或使用 npm-check-updates工具

安全与性Neng建议：

尽量锁定依赖版本

定期运行 npm audit 修复漏洞

使用 npm ci 代替 npm install 在 CI 环境

不要将敏感信息发布到 npm 仓库