npm是服务+客户端+注册中心的组合体，不打包编译，只负责依赖管理；装全局或本地取决于-g参数及是否在含package.json的项目根目录。
npm 是 JavaScript 生态中事实上的包管理器，不是“工具”而是“服务+命令行客户端+注册中心”的组合体。它本身不打包、不编译，只负责下载、安装、解析依赖关系和执行脚本。
npm install 为什么有时装全局，有时装本地？
关键看有没有 -g 参数，以及当前是否在项目根目录（含 package.json）：
-
npm install lodash→ 装到当前项目的node_modules下，写入dependencies -
npm install -D eslint→ 装到node_modules，但写入devDependencies -
npm install -g create-react-app→ 装到系统级路径（如/usr/local/lib/node_modules），所有终端都能直接运行create-react-app
⚠️ 注意：npm install（不带参数）会读取当前 package.json，按 dependencies 和 devDependencies 自动重装所有包 —— 这是团队协作时的标准操作，不是“重复安装”。
package.json 的 dependencies 和 devDependencies 怎么选？
区分逻辑很简单：运行时是否必须存在。
立即学习“Java免费学习笔记（深入）”；
-
dependencies：代码里require('react')或import axios from 'axios'→ 必须打进生产包，用户浏览器或 Node 服务启动时需要 -
devDependencies：只在开发阶段用，比如webpack、jest、prettier→ 构建完就扔，上线不带它们
装错会导致两种典型问题：Cannot find module 'xxx'（漏进 dependencies），或生产环境体积暴涨（误塞构建工具进 dependencies）。
node_modules 为什么又大又乱？怎么避免反复重装？
根本原因是 npm 默认采用嵌套式依赖结构（v6 及以前），不同包的相同子依赖可能被重复安装多次。v7+ 默认启用 dedupe，但仍可能因版本冲突无法扁平化。
真正可控的做法是：
- 始终用
npm ci替代npm install上 CI/CD 或部署机 —— 它严格按package-lock.json安装，跳过依赖解析，更快更确定 - 删
node_modules前先确认package-lock.json存在且未被忽略（.gitignore 不该加它） - 不用
npm update随意升版，改用npm outdated查看可更新项，再npm install xxx@latest显式指定
npm outdated # 输出类似： # Package Current Wanted Latest Location # lodash 4.17.20 4.17.21 4.17.21 my-project
为什么有时候 npm install 报 EACCES 或 ENOENT？
最常见两类权限和路径错误：
-
EACCES: permission denied→ 多半是用了sudo npm install -g导致后续全局写入权限混乱。正确解法是改 npm 全局路径：mkdir ~/.npm-global npm config set prefix '~/.npm-global' # 然后把 ~/.npm-global/bin 加进 $PATH
-
ENOENT: no such file or directory→ 通常是package-lock.json记录了某个包的 tarball URL，但网络抽风或 registry 切换（比如从 npmjs.org 换成 taobao）导致下载失败。临时切回官方源：npm set registry https://registry.npmjs.org/
第三方 registry（如 https://registry.npmmirror.com）虽快，但镜像同步有延迟，某些刚发布的包可能查不到 —— 这点容易被忽略，尤其当你盯着一个新包的文档却死活 install 不上时。
