npm: nền tảng, trình quản lý gói cho React Native và Node.js

npm là gì — trình quản lý gói Node.js?

npm được tạo ra vào năm 2010 bởi Isaac Schlueter như một giải pháp quản lý phụ thuộc Node.js. Từ năm 2014, npm được quản lý bởi npm, Inc., được Microsoft/GitHub mua lại vào năm 2020. Công cụ này gồm hai phần: CLI (dòng lệnh) để cài đặt và quản lý gói, và Registry — kho trung tâm của tất cả các mô-đun đã xuất bản tại registry.npmjs.org.

npm Registry là kho lưu trữ gói lớn nhất: hơn 2 triệu gói và hơn 10 tỷ lượt tải xuống hàng tháng. Mỗi gói có phiên bản SemVer, mô tả, phụ thuộc, giấy phép và tác giả. Việc xuất bản gói riêng được thực hiện qua npm publish. npm hỗ trợ gói có phạm vi cho tổ chức (@scope/package), kho lưu trữ riêng và kiểm tra bảo mật tích hợp.

Node.js phiên bản 18+ bao gồm npm 9+ với hiệu suất được cải thiện, không gian làm việc cho monorepo và cơ chế phụ thuộc ngang hàng được thiết kế lại. Hệ sinh thái npm bao gồm JavaScript phía máy chủ, frontend (React, Vue, Angular), phát triển di động (React Native), công cụ xây dựng (Webpack, Vite) và tiện ích CLI. npm là kênh phân phối chính cho các thư viện JavaScript.

Các tính năng chính của npm

npm install — lệnh chính đọc package.json và package-lock.json để cài đặt tất cả phụ thuộc vào node_modules. Ở lần chạy đầu tiên, npm tính toán đồ thị phụ thuộc, giải quyết xung đột phiên bản và tạo package-lock.json. Lệnh npm install <package> cài đặt một gói cụ thể; cờ --save-dev thêm nó vào devDependencies, --global cài đặt toàn cầu.

npx — trình chạy gói đi kèm với npm từ phiên bản 5.2. npx cho phép chạy các tiện ích CLI mà không cần cài đặt toàn cầu: npx react-native init hoặc npx create-react-app my-app. npx tải gói vào bộ đệm tạm thời, chạy và dọn dẹp sau khi hoàn tất. npx cũng hữu ích để chạy các phiên bản công cụ cụ thể.

npm audit quét cây phụ thuộc để tìm các lỗ hổng đã biết từ cơ sở dữ liệu npm. Lệnh xuất báo cáo với mức độ nghiêm trọng (critical, high, moderate) và khuyến nghị npm audit fix để tự động cập nhật các gói dễ bị tổn thương. npm cache lưu trữ các gói đã tải xuống cục bộ. npm cache clean --force xóa bộ đệm khi gặp sự cố cài đặt. npm outdated hiển thị các gói đã lỗi thời.

# Lệnh npm cơ bản
$ npm install
$ npm install react-native-webview --save
$ npm install typescript --save-dev
# Chạy mà không cần cài đặt toàn cầu
$ npx react-native init MyApp
# Kiểm tra bảo mật
$ npm audit --fix

Cấu trúc package.json và quản lý phụ thuộc

package.json là tệp JSON ở thư mục gốc của dự án mô tả siêu dữ liệu, phụ thuộc và cấu hình của nó. Các trường bắt buộc: name (tên gói duy nhất) và version (phiên bản SemVer, ví dụ 1.0.0). Tệp được tạo bằng npm init -y để khởi tạo nhanh hoặc thủ công.

Semantic Versioning (SemVer) là tiêu chuẩn đánh phiên bản theo định dạng MAJOR.MINOR.PATCH. Phiên bản chính thay đổi khi có thay đổi API không tương thích, phụ khi thêm chức năng (tương thích ngược), vá khi sửa lỗi. Ký hiệu ^ trước phiên bản cho phép cập nhật phụ và vá, ~ chỉ cho phép cập nhật vá.

{
  "name": "my-app",
  "version": "1.0.0",
  "private": true,
  "scripts": {
    "start": "expo start",
    "android": "expo start --android",
    "ios": "expo start --ios"
  },
  "dependencies": {
    "react": "^18.3.0",
    "react-native": "^0.76.0"
  },
  "devDependencies": {
    "typescript": "^5.5.0",
    "@types/react": "^18.3.0"
  }
}

npm trong phát triển React Native

Các dự án React Native sử dụng npm tích cực để quản lý phụ thuộc. Bộ tiêu chuẩn bao gồm react, react-native, thư viện điều hướng (React Navigation), thư viện HTTP (axios), quản lý trạng thái (Redux, Zustand) và thành phần giao diện người dùng. npm cho phép cài đặt hàng nghìn gói tương thích từ kho lưu trữ.

npx pod-install — lệnh bắt buộc sau khi cài đặt mô-đun gốc trong React Native cho iOS. npm tự động tạo Podfile.lock dựa trên package-lock.json. Trong dự án Expo, expo install được sử dụng thay vì npm install vì nó chọn phiên bản tương thích với phiên bản Expo SDK hiện tại.

Xung đột phiên bản là vấn đề phổ biến trong React Native: react-native-reanimated, react-native-gesture-handler và react-native-safe-area-context yêu cầu phiên bản đồng bộ. Giải pháp là cập nhật tất cả gói lên phiên bản tương thích mới nhất hoặc sử dụng --legacy-peer-deps. package-lock.json rất quan trọng cho các mô-đun gốc được biên dịch qua CocoaPods và Gradle.

So sánh npm với các trình quản lý thay thế

npm là trình quản lý gói tiêu chuẩn đi kèm với Node.js. Các thay thế chính: yarn (được Facebook tạo ra năm 2016) và pnpm (nhanh, với liên kết cứng). Từ npm 5, sự khác biệt về tốc độ và chức năng giữa npm và yarn là tối thiểu. npm 7+ đã thêm không gian làm việc, khiến nó cạnh tranh cho các monorepo.

Theo State of JS 2025: 62% nhà phát triển sử dụng npm, 35% sử dụng yarn (chủ yếu là dự án cũ và người hâm mộ PnP) và 3% sử dụng pnpm. Đối với dự án React Native, cả hai công cụ đều khả thi như nhau, nhưng npm phổ biến hơn trong các dự án sử dụng Expo SDK 50+ và các khởi tạo React Native mới.

yarn duy trì lợi thế trong các monorepo cực lớn (100+ gói) nhờ triển khai không gian làm việc trưởng thành hơn và Plug'n'Play. pnpm thắng về tiết kiệm dung lượng đĩa thông qua liên kết cứng đến kho lưu trữ toàn cầu. Việc chọn trình quản lý phụ thuộc vào sở thích của nhóm và cơ sở hạ tầng.