系统掌握npm依赖管理需理清“需求→声明→安装→锁定→复现”链路：package.json是依赖契约，dependencies和devdependencies区分运行与开发依赖，npm install默认本地安装并自动更新package-lock.json确保依赖一致性，推荐使用^语义化版本，lock文件必须提交至git。
想系统掌握 JS 中的 npm 依赖管理，关键不是背命令，而是理解“项目需要什么包 → 怎么声明 → 怎么装 → 怎么锁版本 → 怎么复现”，整条链路跑通了，就自然熟练了。
从初始化开始，搞懂 package.json 是什么
它不是配置文件，而是项目的“依赖契约”。执行 npm init -y 生成后，重点看三个字段：
- name / version / description：项目元信息，影响发布和团队协作
- dependencies：生产环境必需的包（如 express、axios），运行时用得上
- devDependencies：仅开发阶段需要的包（如 eslint、vite、@types/node），上线不打包进去
别手动改 version 或 dependencies 字段——所有变更都该由 npm 命令触发，比如 npm install lodash 会自动写入 dependencies，npm install prettier --save-dev 写入 devDependencies。
理解安装逻辑：本地 vs 全局，语义化版本怎么起作用
npm install 默认是本地安装，包放进当前项目的 node_modules 目录，只对本项目生效。全局安装（npm install -g）适合 CLI 工具（如 pm2、http-server），但别把项目依赖全局装——会导致不同项目共享同一版本，埋下冲突隐患。
版本号写法决定更新行为：
- "lodash": "4.17.21"：精确锁定，不会自动升级
- "lodash": "^4.17.21"：允许次版本和修订版升级（4.x.x），主版本不变
- "lodash": "~4.17.21"：只允许修订版升级（4.17.x），更保守
实际开发中，推荐用 ^（默认行为），兼顾稳定性与安全补丁获取。
必须重视 package-lock.json：它是依赖一致性的唯一保障
它不是可选文件，而是 npm 自动生成的“安装快照”。里面记录了每个包的确切版本、完整下载地址、依赖树结构、甚至校验哈希值。只要 lock 文件存在且未被删改，多人执行 npm install 就能还原出完全一致的 node_modules。
- 提交到 Git：必须提交，不能忽略
- 不要手动编辑：内容复杂，易出错
- 更新依赖后自动更新：比如运行 npm update lodash 或 npm install lodash@4.18.0，lock 文件会同步刷新
日常高频操作，按场景记命令
不用全记，先掌握这五类刚需：
- 查依赖树：npm ls --depth=0 看直接依赖；npm ls lodash 查某个包被谁引用
- 清理重装：rm -rf node_modules package-lock.json && npm install（Mac/Linux）或用 rimraf node_modules && del package-lock.json && npm install（Windows）
- 审计安全漏洞：npm audit 查问题，npm audit fix 自动修复低危，npm audit fix --force 强制升级（慎用）
- 查看已装包：npm list -g --depth=0 看全局装了啥；npm list --depth=0 看当前项目直接依赖
- 切换镜像源（国内必备）：npm config set registry https://registry.npmmirror.com
不复杂但容易忽略
