npm: Grundlagen, Paketmanager für React Native und Node.js

Was ist npm — der Node.js-Paketmanager?

npm wurde 2010 von Isaac Schlueter als Lösung zur Verwaltung von Node.js-Abhängigkeiten entwickelt. Seit 2014 wird npm von npm, Inc. verwaltet, das 2020 von Microsoft/GitHub übernommen wurde. Das Tool besteht aus zwei Teilen: der CLI (Befehlszeile) zum Installieren und Verwalten von Paketen und der Registry — dem zentralen Repository aller veröffentlichten Module unter registry.npmjs.org.

Die npm Registry ist die größte Paketregistrierung: über 2 Millionen Pakete und mehr als 10 Milliarden Downloads monatlich. Jedes Paket hat eine SemVer-Version, Beschreibung, Abhängigkeiten, Lizenz und Autorenschaft. Die Veröffentlichung eines eigenen Pakets erfolgt über npm publish. npm unterstützt bereichsbezogene Pakete für Organisationen (@scope/package), private Registrierungen und eine integrierte Sicherheitsüberprüfung.

Node.js Version 18+ enthält npm 9+ mit verbesserter Leistung, Workspaces für Monorepos und einem überarbeiteten Mechanismus für Peer-Abhängigkeiten. Das npm-Ökosystem umfasst serverseitiges JavaScript, Frontend (React, Vue, Angular), mobile Entwicklung (React Native), Build-Tools (Webpack, Vite) und CLI-Dienstprogramme. npm ist der primäre Verteilungskanal für JavaScript-Bibliotheken.

Hauptfunktionen von npm

npm install — der Hauptbefehl, der package.json und package-lock.json liest, um alle Abhängigkeiten in node_modules zu installieren. Beim ersten Durchlauf berechnet npm den Abhängigkeitsgraphen, löst Versionskonflikte und generiert package-lock.json. Der Befehl npm install <package> installiert ein bestimmtes Paket; das Flag --save-dev fügt es zu devDependencies hinzu, --global installiert global.

npx — ein Paketausführer, der seit Version 5.2 in npm enthalten ist. npx ermöglicht die Ausführung von CLI-Dienstprogrammen ohne globale Installation: npx react-native init oder npx create-react-app my-app. npx lädt das Paket in einen temporären Cache herunter, führt es aus und räumt nach Abschluss auf. npx ist auch nützlich, um bestimmte Tool-Versionen auszuführen.

npm audit durchsucht den Abhängigkeitsbaum nach bekannten Schwachstellen aus der npm-Datenbank. Der Befehl gibt einen Bericht mit Schweregraden (critical, high, moderate) aus und empfiehlt npm audit fix, um anfällige Pakete automatisch zu aktualisieren. npm cache speichert heruntergeladene Pakete lokal. npm cache clean --force leert den Cache bei Installationsproblemen. npm outdated zeigt veraltete Pakete an.

# Grundlegende npm-Befehle
$ npm install
$ npm install react-native-webview --save
$ npm install typescript --save-dev
# Ausführung ohne globale Installation
$ npx react-native init MyApp
# Sicherheitsüberprüfung
$ npm audit --fix

Struktur der package.json und Abhängigkeitsverwaltung

package.json ist eine JSON-Datei im Projektstammverzeichnis, die dessen Metadaten, Abhängigkeiten und Konfiguration beschreibt. Pflichtfelder: name (eindeutiger Paketname) und version (SemVer-Version, z. B. 1.0.0). Die Datei wird mit npm init -y zur schnellen Initialisierung oder manuell erstellt.

Semantic Versioning (SemVer) ist ein Versionierungsstandard im Format MAJOR.MINOR.PATCH. Die Hauptversion ändert sich bei inkompatiblen API-Änderungen, die Nebenversion bei Hinzufügen von Funktionalität (abwärtskompatibel), der Patch bei Fehlerbehebungen. Das ^-Symbol vor einer Version erlaubt Neben- und Patch-Updates, ~ erlaubt nur Patch-Updates.

{
  "name": "my-app",
  "version": "1.0.0",
  "private": true,
  "scripts": {
    "start": "expo start",
    "android": "expo start --android",
    "ios": "expo start --ios"
  },
  "dependencies": {
    "react": "^18.3.0",
    "react-native": "^0.76.0"
  },
  "devDependencies": {
    "typescript": "^5.5.0",
    "@types/react": "^18.3.0"
  }
}

npm in der React Native-Entwicklung

React Native-Projekte nutzen npm aktiv zur Abhängigkeitsverwaltung. Der Standardsatz umfasst react, react-native, Navigationsbibliotheken (React Navigation), HTTP-Bibliotheken (axios), Zustandsverwaltung (Redux, Zustand) und UI-Komponenten. npm ermöglicht die Installation Tausender kompatibler Pakete aus der Registrierung.

npx pod-install — ein erforderlicher Befehl nach der Installation nativer Module in React Native für iOS. npm generiert automatisch eine Podfile.lock basierend auf package-lock.json. In Expo-Projekten wird expo install anstelle von npm install verwendet, da es Versionen auswählt, die mit der aktuellen Expo SDK-Version kompatibel sind.

Versionskonflikte sind ein häufiges Problem in React Native: react-native-reanimated, react-native-gesture-handler und react-native-safe-area-context erfordern abgestimmte Versionen. Die Lösung besteht darin, alle Pakete auf die neuesten kompatiblen Versionen zu aktualisieren oder --legacy-peer-deps zu verwenden. package-lock.json ist für native Module, die über CocoaPods und Gradle kompiliert werden, von entscheidender Bedeutung.

Vergleich von npm mit alternativen Managern

npm ist der standardmäßige Paketmanager, der in Node.js enthalten ist. Die wichtigsten Alternativen: yarn (2016 von Facebook entwickelt) und pnpm (schnell, mit harten Links). Seit npm 5 ist der Unterschied in Geschwindigkeit und Funktionalität zwischen npm und yarn minimal. npm 7+ hat Workspaces hinzugefügt, was es für Monorepos wettbewerbsfähig macht.

Laut State of JS 2025: 62% der Entwickler verwenden npm, 35% yarn (hauptsächlich ältere Projekte und PnP-Enthusiasten) und 3% pnpm. Für React Native-Projekte sind beide Tools gleichermaßen geeignet, aber npm ist häufiger in Projekten mit Expo SDK 50+ und neuen React Native-Initialisierungen.

yarn behält seinen Vorteil in extrem großen Monorepos (100+ Pakete) dank seiner ausgereifteren Workspace-Implementierung und Plug'n'Play. pnpm punktet bei der Speicherplatzersparnis durch harte Links auf einen globalen Speicher. Die Wahl des Managers hängt von den Teampräferenzen und der Infrastruktur ab.