npm

差分

このページの2つのバージョン間の差分を表示します。

この比較画面へのリンク

--- npm [2011/12/27 12:31] – 作成 nullpon
+++ npm [2026/04/01 16:23] (現在) – nullpon
@@ 行 3: / 行 3: @@
 [[http://npmjs.org/|npm]] は [[nodejs|node.js]] 用のパッケージ管理システム。
-===== インストール =====
+===== 準備 =====
-[[nvm]] をインストールすると入ってくるのでそれを使うと良い。
+node本体に付属しています。
 ===== 使い方 =====
-==== インストール ====
+==== npmプロジェクトの開始 ====
-  $ npm install express -g
+   $ npm init
-~/.npm 以下にインストールされるので、使う時はリンクを張る
-  $ npm link express
+packege.jsonが作られる。
-カレントディレクトリにnode_packageというディレクトリが作成され、その下にパッケージのシンボリックリンクを作成する。
+node_modulesディレクトリは .gitignore 等に追加してSCMに管理されないようにする
-==== 直接インストール ====
+==== モジュールのインストール ====
+expressを追加する。これをすると依存モジュールとしてpackage.jsonに記録される
   $ npm install express
-カレントディレクトリのnode_packageに直接インストールされる。（いちおう~/.npmにも存在しているようだ）
+eslint等、実行環境で不要なモジュールは --save-dev を付ける
+  $ npm install --save-dev eslint
+gオプションはグローバルインストール。nodeで動作するコマンドラインツールをインストールする場合に使用する。
+  $ npm install http-server -g
+  $ http-server
+package.jsonに記録されている依存モジュールのインストール
+  $ npm install
+  $ npm i
+package-lock.jsonに完全に一致させる(clean install)
+  $ npm ci
+==== packageの脆弱性チェック ====
+  $ npm audit
+===== .npmrc =====
+npmの設定ファイル。ユーザのホームディレクトリ、またはプロジェクトのpackage,jsonと同じディレクトリに置く
+<code>
+ignore-scripts=true
+min-release-age=3
+</code>
+  * ''ignore-scripts'': `npm install`実行時に依存パッケージのpreinstall/install/postinstallの実行を抑止
+  * ''min-release-age'': 公開から指定日数経過してないバージョンを''npm install''でインストールしない
-コマンドラインツールがインストールされるもの（express, uglify-js, jshintなど）は -g でインストールするのが良いようだ。
+これらはサプライチェーン攻撃への対策としても有効。汚染バージョンが公開されても指定した日数はインストールされない。またインストールされても、installスクリプトでマルウェアをダウンロードするような攻撃から守ることができる。

npm.1324989102.txt.gz · 最終更新: 2011/12/27 12:31 by nullpon