NPM是JavaScript生态中用于自动管理项目依赖的命令行工具与在线仓库，通过package.json声明依赖、package-lock.json锁定版本，并采用扁平化node_modules结构确保安装一致性和复现性。
NPM 是 JavaScript 生态中最常用的包管理工具，本质是一个命令行程序 + 在线仓库（npmjs.com），它帮开发者自动下载、安装、更新和管理项目所需的第三方代码库（即“依赖”）。
npm 如何记录和声明依赖
每个项目根目录下有一个 package.json 文件，它是项目的“清单”。其中的 dependencies 和 devDependencies 字段明确列出项目运行或开发时需要哪些包，比如：
"dependencies": {
"lodash": "^4.17.21",
"axios": "1.6.0"
},
"devDependencies": {
"jest": "^29.7.0"
}
版本号前的 ^ 或 ~ 表示允许自动升级的范围（如 ^4.17.21 允许装 4.x 的任意新版，但不跨大版本）。
npm install 怎么工作的
当你执行 npm install（或简写 npm i）时，npm 会做这几件事：
立即学习“Java免费学习笔记（深入）”；
- 读取
package.json中的依赖列表 - 检查本地
node_modules是否已存在对应包及正确版本 - 若缺失或版本不符，就从 npm 官方仓库下载并解压到
node_modules目录中 - 同时生成/更新
package-lock.json，锁定每个包的确切版本和完整依赖树，确保多人协作或部署时行为一致
依赖的安装方式与区别
日常添加依赖常用这些命令：
-
npm install lodash→ 加入dependencies（生产环境需要） -
npm install jest --save-dev或npm install -D jest→ 加入devDependencies（仅开发测试用） -
npm install lodash@4.17.20→ 指定精确版本 -
npm update lodash→ 升级到符合package.json版本范围的最新版
node_modules 结构与扁平化
早期 npm 采用嵌套结构，容易造成重复安装；从 npm v3 起默认启用“扁平化”策略：把所有兼容的依赖尽量提升到 node_modules 顶层，只在冲突时才嵌套。这既节省空间，也减少模块解析路径深度，但偶尔也会引发“幽灵依赖”问题（即代码用了未显式声明的包）。
基本上就这些。npm 不复杂，但细节决定项目是否稳定可复现 —— 关键是管好 package.json 和 package-lock.json，别手动删 node_modules 或随意改版本号。
