Пакетные менеджеры — npm, pnpm, Yarn

{
  "scripts": { "dev": "vite", "build": "vite build", "test": "vitest" },
  "dependencies": { "react": "^19.0.0" },
  "devDependencies": { "typescript": "~5.6.0", "vite": "^6.0.0" }
}

Что важно знать

• Семантические версии MAJOR.MINOR.PATCH: ^1.2.3 разрешает обновления до 2.0.0, ~1.2.3 — только патчи.
• Lock-файл (package-lock.json, pnpm-lock.yaml) фиксирует точные версии всего дерева — его коммитят; в CI ставят npm ci, который строго следует lock-файлу.
• dependencies нужны в работе приложения, devDependencies — только для разработки и сборки.
• pnpm хранит пакеты один раз на диске и не даёт использовать непрописанные зависимости; Yarn — альтернатива с похожими возможностями. Выбирают по проекту; принципы одни.
• npx запускает бинарник пакета без глобальной установки.
• Безопасность: npm audit, осторожность с малоизвестными пакетами и скриптами postinstall — атаки через цепочку поставок реальны.