npm: основы, менеджер пакетов для React Native и Node.js

Что такое npm — менеджер пакетов Node.js?

npm был создан в 2010 году Айзеком Шлютером как решение для управления зависимостями Node.js. С 2014 года npm управляется компанией npm, Inc., приобретённой Microsoft/GitHub в 2020. Инструмент состоит из двух частей: CLI (командная строка) для установки и управления пакетами, и Registry — центрального репозитория всех опубликованных модулей по адресу registry.npmjs.org.

npm Registry — крупнейший реестр пакетов: более 2 миллионов пакетов и свыше 10 миллиардов загрузок ежемесячно. Каждый пакет имеет SemVer-версию, описание, зависимости, лицензию и авторство. Публикация собственного пакета выполняется через npm publish. npm поддерживает scoped-пакеты для организаций (@scope/package), приватные реестры и встроенный аудит безопасности.

Node.js версии 18+ включает npm 9+ с улучшенной производительностью, workspaces для монорепозиториев и переработанным механизмом peer dependencies. Экосистема npm охватывает серверный JavaScript, фронтенд (React, Vue, Angular), мобильную разработку (React Native), инструменты сборки (Webpack, Vite) и CLI-утилиты. npm — основной канал распространения JavaScript библиотек.

Основные возможности npm

npm install — главная команда, читающая package.json и package-lock.json для установки всех зависимостей в node_modules. При первом запуске npm вычисляет граф зависимостей, разрешает конфликты версий и генерирует package-lock.json. Команда npm install <package> устанавливает конкретный пакет; флаг --save-dev добавляет в devDependencies, --global — глобально.

npx — исполнитель пакетов, входящий в npm с версии 5.2. npx позволяет запускать CLI-утилиты без глобальной установки: npx react-native init или npx create-react-app my-app. npx скачивает пакет во временный кеш и запускает, а после завершения очищает его. npx также полезен для запуска конкретных версий инструментов.

npm audit сканирует дерево зависимостей на известные уязвимости из базы npm. Команда выводит отчёт с уровнями критичности (critical, high, moderate) и рекомендует npm audit fix для автоматического обновления уязвимых пакетов. npm cache хранит скачанные пакеты локально. npm cache clean --force очищает кеш при проблемах с установкой. npm outdated показывает устаревшие пакеты.

# Основные команды npm
$ npm install
$ npm install react-native-webview --save
$ npm install typescript --save-dev
# Запуск без глобальной установки
$ npx react-native init MyApp
# Аудит безопасности
$ npm audit --fix

Структура package.json и управление зависимостями

package.json — это JSON-файл в корне проекта, который описывает его метаданные, зависимости и конфигурацию. Обязательные поля: name (уникальное имя пакета) и version (SemVer-версия, например 1.0.0). Файл создаётся командой npm init -y для быстрой инициализации или вручную.

Semantic Versioning (SemVer) — стандарт версионирования MAJOR.MINOR.PATCH. Мажорная версия меняется при несовместимых изменениях API, минорная — при добавлении функционала (обратно совместимо), патч — при исправлении багов. Символ ^ перед версией разрешает обновления минорной и патч-версий, ~ — только патч-версии.

{
  "name": "my-app",
  "version": "1.0.0",
  "private": true,
  "scripts": {
    "start": "expo start",
    "android": "expo start --android",
    "ios": "expo start --ios"
  },
  "dependencies": {
    "react": "^18.3.0",
    "react-native": "^0.76.0"
  },
  "devDependencies": {
    "typescript": "^5.5.0",
    "@types/react": "^18.3.0"
  }
}

npm в разработке React Native

React Native проекты активно используют npm для управления зависимостями. Стандартный набор включает react, react-native, библиотеки навигации (React Navigation), HTTP-запросов (axios), управления состоянием (Redux, Zustand) и UI-компонентов. npm позволяет устанавливать тысячи совместимых пакетов из реестра.

npx pod-install — обязательная команда после установки нативных модулей в React Native для iOS. npm автоматически генерирует Podfile.lock на основе package-lock.json. В Expo-проектах используется expo install вместо npm install, так как он подбирает версии, совместимые с текущей версией Expo SDK.

Конфликты версий — частая проблема React Native: react-native-reanimated, react-native-gesture-handler и react-native-safe-area-context требуют согласованных версий. Решение — обновить все пакеты до последних совместимых версий или использовать --legacy-peer-deps. package-lock.json критичен для нативных модулей, компилируемых через CocoaPods и Gradle.

Сравнение npm с альтернативными менеджерами

npm — стандартный менеджер пакетов, входящий в Node.js. Основные альтернативы: yarn (создан Facebook в 2016) и pnpm (быстрый, с жёсткими ссылками). Начиная с npm 5, разница в скорости и функционале между npm и yarn минимальна. npm 7+ добавил workspaces, что делает его конкурентоспособным для монорепозиториев.

По данным State of JS 2025: npm используют 62% разработчиков, yarn — 35% (преимущественно старые проекты и поклонники PnP), pnpm — 3%. Для React Native проектов оба инструмента равноценны, но npm чаще встречается в проектах на Expo SDK 50+ и новых React Native инициализациях.

yarn сохраняет преимущество в экстремально больших монорепозиториях (100+ пакетов) благодаря более зрелой реализации workspaces и Plug'n'Play. pnpm выигрывает в экономии дискового пространства за счёт жёстких ссылок на глобальный стор. Выбор менеджера зависит от командных предпочтений и инфраструктуры.