Node.js如何利用package.json管理依赖包？

Node.js项目把依赖写进package.json后，就能让npm统一安装、还原和删除包。运行时需要的包放在 dependencies，本地开发和测试工具放在 devDependencies。在项目根目录执行安装命令，npm会同步维护package.json和package-lock.json，团队成员拉取代码后便能按同一份依赖树恢复环境。

用package.json管理Node.js依赖包

1、在项目根目录确认依赖字段。

dependencies 用于应用在生产环境运行时需要的包，例如Web框架或数据库客户端。devDependencies 只放本地开发、测试和构建工具，例如代码检查器或测试框架。项目开始前打开package.json，使包写入正确字段。
2、安装包并让npm记录分类。
npm install express

npm install -D eslint

第一条命令把指定包保存到 dependencies，-D 或 --save-dev 会保存到 devDependencies。安装后检查package.json中的包名和版本范围，再把启动、测试或构建命令写进 scripts，团队成员即可通过 npm run 脚本名 调用项目内工具。

3、提交锁文件并恢复依赖。

package-lock.json会在npm修改node_modules树或package.json时自动生成或更新。它记录实际生成的依赖树，后续安装可以生成相同的树，因此应和package.json一起提交。切换分支或新机器安装前，核对两个文件来自同一代码版本，然后在项目根目录运行 npm install。

依赖清单、锁文件和传递依赖的区别

内容	它解决的问题	维护方式
package.json	记录直接声明的依赖及可接受版本范围	用npm安装或卸载命令更新
package-lock.json	记录实际生成的依赖树，便于不同环境还原一致结果	与package.json一起提交，由npm维护
传递依赖	由直接依赖继续拉取的间接包	排查升级或告警时沿依赖路径确认来源

图中的Direct标签和Manifest列展示了直接声明的包与清单文件的关系。安装后还会有传递依赖，遇到漏洞、版本冲突或锁文件变化时，应判断问题包是直接写进清单，还是由某个直接依赖间接带入。

更新或删除包后检查三处

• 确认代码引用：删除包前搜索import、require和脚本命令，避免删掉仍在使用的依赖。
• 使用npm uninstall：执行 npm uninstall 包名 会移除npm安装的内容，并从package.json的依赖字段中删除条目，同时更新锁文件。
• 不要手改package-lock.json：调整package.json后交给npm重算锁文件，手动删改容易让清单和实际依赖树脱节。
• 安装结果异常：检查当前目录、Node.js与npm版本，以及package.json和package-lock.json是否来自同一分支。必要时删除node_modules后按当前清单重新安装。