文章目录一、npm1.1 与其他语言包管理器的类比1.2 npm 常用命令速查表二、package.json2.1 常用字段总览2.2 依赖相关字段详解1. dependencies生产依赖2. devDependencies开发依赖3. peerDependencies同级依赖4. 版本号语法semver2.3 scripts 脚本2.4 engines - 环境要求2.5 其他实用字段2.6 package-lock.json 的作用三、最佳实践建议一、npmnpm全称Node Package Manager是 Node.js 的官方包管理工具。它是一个基于命令行的工具用于帮助开发者在项目中安装、升级、移除和管理依赖同时也支持发布自己的包到 npm 仓库。官网https://www.npmjs.com/1.1 与其他语言包管理器的类比语言包管理器说明Node.jsnpmNode.js 官方包管理器PHPComposerPHP 的依赖管理工具JavaMaven / Gradle构建与依赖管理工具PythonpipPython 包管理器RustCargoRust 的包管理与构建工具Gogo modGo 的模块管理工具1.2 npm 常用命令速查表分类命令作用描述项目初始化npm init/npm init -y初始化项目并创建 package.json安装依赖npm install安装 package.json 中的所有依赖npm install package安装指定包到dependenciesnpm install package -D安装到devDependencies推荐简写npm install package -g全局安装npm install package版本号安装指定版本依赖管理npm update package更新指定包npm uninstall package卸载包npm outdated检查过时的依赖npm audit/npm audit fix检查并尝试修复安全漏洞npm ls/npm list查看已安装的依赖树脚本执行npm run script运行 package.json 中的脚本npm start/npm test特殊脚本可省略run包信息npm search keyword搜索 npm 仓库npm info package/npm view查看包详细信息发布相关npm login/npm logout登录 / 注销 npm 账户npm publish发布包到 npm配置管理npm config list列出所有 npm 配置npm get registry查看当前镜像源npm set registry url设置镜像源其他npm link将本地包链接到全局npm ci根据 lock 文件进行干净安装推荐 CI 使用npx package临时执行包中的命令无需全局安装二、package.jsonpackage.json是 Node.js 项目的核心配置文件它定义了项目的元数据、依赖项、脚本命令、入口文件等重要信息。几乎所有基于 Node.js 的项目都会有这个文件。2.1 常用字段总览字段名类型作用描述name字符串项目名称发布到 npm 时必须唯一推荐小写 连字符version字符串项目版本号遵循语义化版本如1.0.0description字符串项目简短描述main字符串CommonJS 入口文件如dist/index.jsmodule字符串ES Module 入口文件现代打包工具优先使用types/typings字符串TypeScript 类型声明文件入口exports对象/字符串更现代的导出映射推荐替代单纯的maintype字符串指定模块系统module或commonjskeywords字符串数组关键词用于 npm 搜索author字符串/对象作者信息license字符串开源许可证如MIT、Apache-2.0、ISCdependencies对象生产环境依赖devDependencies对象开发环境依赖peerDependencies对象同级依赖宿主环境需要提供的包optionalDependencies对象可选依赖安装失败不会导致整体失败scripts对象可执行的脚本命令repository对象代码仓库信息bugs对象/字符串Bug 反馈地址homepage字符串项目主页engines对象指定 Node.js / npm 版本要求files数组发布到 npm 时包含的文件白名单private布尔值设为true可防止意外发布到 npmbrowserslist数组/字符串浏览器兼容性配置供 Babel、Autoprefixer 等使用必填字段发布到 npm 时name和version是必填项。2.2 依赖相关字段详解1. dependencies生产依赖项目运行时真正需要的包。dependencies:{react:^18.2.0,express:^4.18.2}安装方式npminstallreact# 或npmi express2. devDependencies开发依赖只在开发、构建、测试时使用的包不会被打包到生产环境。devDependencies:{typescript:^5.0.0,eslint:^8.0.0,vite:^5.0.0}安装方式npminstalltypescript-D# 或npmi eslint --save-dev3. peerDependencies同级依赖常用于组件库、插件场景。表示“我需要这个包但不自己安装要求宿主项目提供”。peerDependencies:{react:17.0.0,react-dom:17.0.0}4. 版本号语法semver写法含义示例允许范围1.2.3精确版本仅 1.2.3^1.2.3兼容更新默认≥1.2.3 且 2.0.0~1.2.3近似更新≥1.2.3 且 1.3.01.2.3大于等于≥1.2.3*或x任意版本任意latest最新版本最新发布2.3 scripts 脚本scripts是 package.json 中非常重要的字段用于定义常用命令。scripts:{dev:vite,build:vite build,preview:vite preview,lint:eslint src --ext .ts,.tsx,test:vitest,prepare:husky install}执行方式npmrun devnpmrun buildnpmstart# 特殊脚本可省略 runnpmtest# 特殊脚本可省略 run生命周期脚本会自动执行preinstall/postinstallprepublishOnlyprepare安装依赖后自动执行常用于 husky2.4 engines - 环境要求engines:{node:18.0.0,npm:9.0.0}配合.npmrc中的engine-stricttrue可以强制检查。2.5 其他实用字段repositoryrepository:{type:git,url:https://github.com/user/repo.git}files控制发布内容files:[dist,README.md,LICENSE]type决定默认模块系统type:module// 默认使用 ES Module// 或type:commonjs// 默认使用 CommonJSprivateprivate:true// 防止执行 npm publish 时误发布2.6 package-lock.json 的作用锁定依赖的精确版本和依赖树结构保证不同环境开发、测试、生产、CI安装结果一致由 npm 自动生成和维护不建议手动修改推荐提交到 Git 仓库相关命令npminstall# 会根据 package.json 更新 lock 文件npmci# 严格按照 lock 文件安装CI 推荐三、最佳实践建议生产依赖 vs 开发依赖要严格区分避免把测试工具、构建工具放进dependencies。使用^作为默认版本前缀兼顾兼容性与更新。把package-lock.json提交到 Git保证依赖一致性。私有项目记得加private: true。合理使用scripts把常用命令都写进去方便团队协作。发布到 npm 前用files字段控制只上传必要文件。推荐配合.npmrc统一镜像源和配置。 感谢阅读想了解更多 我的博客网站 | 记录思考分享干货 我的个人主页 | 关于我、开源项目