npm und Pakete

npm (Node Package Manager) wird mit Node.js installiert. Es verwaltet Pakete (Bibliotheken) aus der riesigen Sammlung auf npmjs.com und führt Skripte deines Projekts aus.

Ein Projekt anlegen

mkdir mein-projekt
cd mein-projekt
npm init -y            # erzeugt package.json mit Standardwerten

Die Datei package.json beschreibt dein Projekt:

{
  "name": "mein-projekt",
  "version": "1.0.0",
  "type": "module",
  "scripts": {
    "start": "node index.js",
    "test": "node --test",
    "lint": "eslint ."
  },
  "dependencies": {
    "express": "^4.19.0"
  },
  "devDependencies": {
    "eslint": "^9.0.0"
  }
}

Pakete installieren

npm install express            # in dependencies
npm install -D eslint          # in devDependencies
npm install                    # alles aus package.json installieren
npm uninstall express
npm update                     # innerhalb der erlaubten Versionen aktualisieren
npm outdated                   # veraltete Pakete anzeigen
npx cowsay "Hallo"             # Paket einmalig ausführen, ohne zu installieren

Pakete landen im Ordner node_modules/ (nie in die Versionsverwaltung aufnehmen: .gitignore!). Die Datei package-lock.json hält die genauen Versionen fest und gehört ins Repository, damit alle dieselben Pakete bekommen.

Versionen (SemVer)

Versionsnummern haben die Form MAJOR.MINOR.PATCH, zum Beispiel 4.19.2:

In package.json bedeutet ^4.19.0 "ab 4.19.0, aber unter 5.0.0", und ~4.19.0 "ab 4.19.0, aber unter 4.20.0".

Das Paket benutzen

import express from "express";

const app = express();
app.get("/", (req, res) => res.send("Hallo!"));
app.listen(3000);

Sicherheit

Jedes Paket ist Code von Fremden, und jedes Paket bringt oft weitere Abhängigkeiten mit.

• npm audit zeigt bekannte Sicherheitslücken, npm audit fix behebt viele davon
• Prüfe Pakete vor der Installation: Downloadzahlen, Pflege, Anzahl der Abhängigkeiten
• Achte auf Tippfehler-Namen (Typosquatting)
• Installiere nur, was du wirklich brauchst; manchmal reichen eingebaute Funktionen
• Lockfile committen und in der CI mit npm ci exakt reproduzierbar installieren

Alternativen zu npm

Die Pakete sind dieselben, nur die Befehle unterscheiden sich leicht.

Ein kleines Paket selbst bauen

grosse-apfel-birnen
hallo-welt