Node.js
Gestión de proyectos Node.js con npm y package.json: scripts, dependencias, semver, lockfiles, workspaces, publicación y riesgos de la cadena de suministro.
{
"name": "orders-cli",
"version": "1.0.0",
"type": "module",
"scripts": {
"test": "node --test",
"start": "node src/index.js"
},
"engines": {
"node": ">=24 <27"
}
}Describe identidad, scripts, compatibilidad, dependencias, exports y binarios. No garantiza por sí solo que el entorno cumpla el contrato.
Clasifica por responsabilidad, no por costumbre.
major.minor.patchLos rangos como ^ o ~ aceptan conjuntos de versiones. El lockfile fija la resolución concreta usada por el proyecto.
package.json → rango permitido
lockfile → versión y árbol resueltos
registry → artefactos publicadosnpm install puede actualizar la resolución según rangos y estado del proyecto. npm ci exige un lockfile consistente, elimina la instalación existente y reproduce el árbol fijado; es apropiado para CI.
Un lockfile mejora reproducibilidad, pero no reemplaza verificación de integridad, revisiones ni una política de actualizaciones.
Instalar una librería añade también sus dependencias. El riesgo real incluye código que nunca elegiste directamente.
Antes de incorporar una dependencia pregunta:
Paquetes pueden ejecutar scripts durante instalación. Una cuenta comprometida, una transferencia de nombre o una dependencia maliciosa pueden afectar el proyecto.
npm audit como garantía de seguridad.{
"private": true,
"workspaces": ["packages/*"]
}Permiten gestionar varios paquetes relacionados con un lockfile y comandos coordinados. No sustituyen límites claros entre paquetes.
Para publicar una librería define:
exports para la API pública.files para limitar contenido distribuido.engines para declarar compatibilidad.bin para exponer ejecutables.No publiques secretos, archivos de pruebas internos o configuración local.
Evítala cuando el problema se resuelve de forma pequeña y estable con Node, cuando el paquete está abandonado, cuando amplía demasiado la superficie de ataque o cuando oculta un comportamiento que necesitas comprender.
exports.¿Por qué dos personas con el mismo package.json pueden obtener árboles diferentes si no comparten lockfile?
Porque los rangos pueden resolverse a versiones publicadas distintas en momentos diferentes, incluyendo dependencias transitivas.
Process, entorno y graceful shutdown estudia el ciclo de vida del programa ya instalado.