包管理器

💡 学习指南：写代码不必从零造轮子——99% 的功能已经有人写好并发布到互联网上了。包管理器就是那个帮你找到、下载并管理这些"现成零件"的工具。本章围绕一个核心问题展开：如何让代码依赖变得可重现、可协作、可维护？

0. 为什么你一定会用到包管理器？ link

想象你要写一个能发 HTTP 请求的 Node.js 程序。有两条路：

• 方法 A（手动）：自己实现 TCP 连接、HTTP 协议解析、重定向处理、超时机制……估计要写几千行代码，调试几个月。
• 方法 B（包管理器）：npm install axios，十秒钟，一行代码搞定。

包管理器本质上是代码的「应用商店」。它帮你：

1. 在中央仓库（Registry）里找到别人发布的库
2. 自动下载并安装到你的项目里
3. 处理这个库自己依赖的其他库（依赖的依赖）
4. 记录你用的是哪个精确版本，让团队协作不出问题

1. 各语言 / 系统生态的包管理器一览 link

不同编程语言和操作系统有各自的生态工具链，但底层逻辑完全一致。

👇 动手点点看：选择你熟悉的生态，探索它的主流包管理工具。

1.1 包去哪里下载？—— Registry（注册表） link

每个生态背后都有一个中央仓库，存放所有可下载的包：

1.2 JavaScript 三强对比：npm vs yarn vs pnpm link

功能相近，区别主要体现在速度和磁盘占用：

  磁盘占用：pnpm（硬链接共享）< yarn PnP（零 node_modules）< npm（完整复制）
安装速度：pnpm ≈ yarn > npm
使用习惯：npm（最通用）> pnpm（新项目推荐）> yarn（部分团队）
  

推荐：新项目用 pnpm，已有项目维持原有工具，不要随意切换。

1.3 Windows 三强对比：winget vs Chocolatey vs Scoop link

推荐：日常用 winget，开发工具用 scoop，企业自动化用 Chocolatey。

2. 安装包 —— 背后发生了什么？ link

输入 npm install axios 后，命令行安静了几秒，然后就好了。这几秒里到底发生了什么？

👇 动手点点看：选择一个包，点击"运行"，观察安装的全过程。

2.1 四个阶段详解 link

① 依赖解析（Resolve）

包管理器先"读懂"你要装什么。以 axios 为例，它自己依赖 follow-redirects、form-data 等包，这些也都要安装。这个过程叫做构建依赖树。

② 下载（Fetch）

从 Registry 下载所有需要的包（.tgz 格式的压缩包）。聪明的包管理器会：

• 并行下载多个包，而不是一个个等待
• 先查本地缓存，命中就不走网络

③ 链接（Link）

把下载的包解压放到 node_modules/ 目录，并处理好引用关系。

④ 写锁文件（Lockfile）

把这次安装的精确版本号写入 package-lock.json（或 yarn.lock / pnpm-lock.yaml）。

2.2 最常用命令速查 link

  # ── JavaScript (npm) ──────────────────────────────────
npm install              # 按 package.json 安装所有依赖
npm install axios        # 安装新包（生产依赖）
npm install -D jest      # 安装开发依赖（只在开发时用）
npm install -g tsx       # 全局安装（任何目录都能用）
npm uninstall axios      # 卸载包
npm update               # 升级所有包到兼容的最新版
npm run build            # 运行 package.json scripts 里的脚本
npx create-react-app .   # 临时运行，不安装到项目

# ── Python (pip) ──────────────────────────────────────
pip install requests           # 安装包
pip install requests==2.28.0   # 安装指定版本
pip freeze > requirements.txt  # 导出当前依赖列表
pip install -r requirements.txt # 按列表安装

# ── Rust (cargo) ──────────────────────────────────────
cargo add serde    # 添加依赖（会自动更新 Cargo.toml）
cargo build        # 构建项目
cargo test         # 运行测试
cargo run          # 运行项目

# ── Go (go mod) ───────────────────────────────────────
go get github.com/gin-gonic/gin  # 添加依赖
go mod tidy                      # 整理依赖（删多余、补缺失）
go build ./...                   # 构建

# ── Windows (winget) ──────────────────────────────────
winget install Git.Git           # 安装软件
winget upgrade --all             # 更新所有已安装软件
  

2.3 npm scripts 是什么？ link

package.json 里有一个 scripts 字段，这是 npm 内置的任务运行器：

  {
  "scripts": {
    "dev": "vite",
    "build": "vite build",
    "test": "jest",
    "lint": "eslint src/"
  }
}
  

运行方式：npm run dev、npm run build。这样做的好处是：

• 统一入口：团队成员不需要记住底层工具的具体命令
• 环境自动配置：运行时会自动把 node_modules/.bin 加入 PATH，可以直接用本地安装的工具

3. 全局安装 vs 本地安装 link

这是新手最容易困惑的概念之一。

3.1 两者的区别 link

  npm install axios        # 本地安装：装到 ./node_modules/，只有当前项目能用
npm install -g typescript  # 全局安装：装到系统目录，任何项目/目录都能用
  

3.2 黄金法则 link

库类依赖（axios、lodash、vue）永远本地安装；
命令行工具（tsc、eslint）优先本地安装，用 npx 调用。

为什么命令行工具也推荐本地安装？

假设你全局安装了 eslint@8，但项目 A 需要 eslint@9 的新规则，你就要在全局和项目之间反复切换。把 eslint 装到本地，用 npx eslint . 调用，每个项目都能独立配置自己的版本。

3.3 npx —— 临时运行，不污染环境 link

npx 是 npm 自带的工具运行器，允许你不安装直接运行一个包：

  # 不安装 create-vue，直接运行它来初始化项目
npx create-vue my-project

# 不安装 prettier，直接格式化文件
npx prettier --write src/

# 强制使用指定版本（忽略已安装的）
npx typescript@5.4 tsc --version
  

Python 的 uvx、Rust 的 cargo run 也提供了类似的"临时运行"能力：

  uvx ruff check .       # Python：临时运行 ruff 检查器
cargo install ripgrep  # Rust：安装到全局，变成系统命令 rg
  

4. 版本号的秘密 —— 语义化版本 link

你在 package.json 里会看到这样的内容：

  {
  "dependencies": {
    "axios": "^1.6.8",
    "typescript": "~5.4.0"
  }
}
  

这里的 ^ 和 ~ 是什么意思？

👇 动手点点看：鼠标悬停版本号各个部分，理解含义；点击范围符号，看哪些版本会被接受。

4.1 为什么不锁死版本？ link

最佳实践：用 ^ 声明范围 + 锁文件固定实际版本，两者配合使用。

4.2 依赖地狱是什么？ link

当你依赖 50 个包，每个包又依赖若干包，“依赖树"可能有几百个节点。如果两个你依赖的包需要同一个库的不兼容版本，就产生了"依赖冲突”。

各生态的解法：

• npm v3+：同主版本提升到顶层共享，不同主版本各自安装一份
• pnpm：硬链接 + 严格隔离，从根本上防止"幽灵依赖"（没声明却能用的包）
• cargo（Rust）：语言层面强制每个包只能依赖同一版本，彻底规避冲突
• go mod（Go）：最小版本选择（MVS）策略，选能满足所有约束的最低版本

5. 锁文件 —— 团队协作的基石 link

5.1 为什么需要锁文件？ link

假设 package.json 写的是 "axios": "^1.6.0"：

• 你今天安装 → 装到 1.6.8
• 队友明天安装 → 可能装到 1.7.0（昨晚刚发布）
• CI 服务器下周 → 可能装到 1.7.1

同样的代码，三个人跑出不同结果。锁文件记录每个包的精确版本，所有人按它安装，结果完全一致。

5.2 锁文件应该提交到 Git 吗？ link

应用程序必须提交，发布到 npm 的库可以不提交。

• ✅ Web 应用、后端服务：必须提交，确保部署环境和开发环境完全一致
• ❌ npm 发布的库：通常不提交，库的使用者有自己的锁文件
• ✅ Python 项目：requirements.txt 本身就起锁文件作用，应该提交
• ✅ Go 项目：go.sum 必须提交，用于完整性校验

6. Python 虚拟环境 link

Python 有一个特别需要注意的概念：虚拟环境（venv）。

为什么需要？

Python 默认全局安装包。你的项目 A 需要 requests==2.28，项目 B 需要 requests==2.31，两者会互相冲突。

解决方案：为每个项目创建独立的虚拟环境，互不干扰。

  # 1. 创建虚拟环境（在项目根目录运行）
python -m venv .venv

# 2. 激活虚拟环境
source .venv/bin/activate        # macOS / Linux
.venv\Scripts\activate           # Windows（命令提示符 CMD）
.venv\Scripts\Activate.ps1       # Windows（PowerShell）

# 3. 激活后，pip install 只影响当前虚拟环境，不污染全局
pip install requests

# 4. 退出虚拟环境
deactivate
  

⚠️ Windows 常见问题：PowerShell 默认禁止运行脚本，需先执行：

  Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
  

现代替代方案：

• conda create -n myproject python=3.11 —— 连 Python 版本都一起管理
• uv venv && source .venv/bin/activate —— Rust 写的，创建速度飞快

.venv 要提交到 Git 吗？

不要！.venv 是本机生成的，应加入 .gitignore。用 requirements.txt 或 pyproject.toml 来描述依赖。

7. 常见问题速查 link

Q: node_modules 要提交到 Git 吗？

不要！通常有几百 MB，应该加入 .gitignore。有了 package-lock.json，任何人都能 npm install 快速重建。

Q: 安装失败 / 出现奇怪报错怎么办？

  # 清空缓存，删除旧安装，重来
npm cache clean --force
rm -rf node_modules package-lock.json   # macOS/Linux
rmdir /s /q node_modules && del package-lock.json  # Windows CMD
npm install
  

Q: 安装速度太慢？

  # 切换到国内镜像（推荐写入 .npmrc 文件，不污染全局）
echo "registry=https://registry.npmmirror.com" > .npmrc

# pip 也可以配置镜像
pip install requests -i https://pypi.tuna.tsinghua.edu.cn/simple
  

Q: 包有安全漏洞怎么处理？

  npm audit          # 扫描已知漏洞
npm audit fix      # 自动修复兼容的漏洞
npm audit fix --force  # 强制升级（可能有破坏性，谨慎用）
  

Q: 怎么知道某个包是否值得信赖？

在 npmjs.com 或 bundlephobia.com 查看：

• 周下载量（越高越可信）
• 最后更新时间（超过 2 年没更新要谨慎）
• 依赖数量（依赖越多，引入问题的可能性越大）
• GitHub Stars 和 Issues 活跃度

Q: Windows 上 winget 安装的软件在哪？

winget 默认安装到系统目录（需要管理员）或 %LOCALAPPDATA%\Microsoft\WindowsApps。Scoop 安装的软件统一在 %USERPROFILE%\scoop\apps\，方便管理和迁移。

8. 名词对照表 link

总结：包管理器的本质 link

四句话记住核心：

1. 包管理器 = 应用商店：帮你找到、安装、管理代码零件，不必重复造轮子。
2. 锁文件 = 团队契约：固定精确版本，让"在我机器上好好的"成为历史。
3. 语义化版本 = 沟通语言：^ 安全地获取更新，MAJOR 变了就要小心。
4. 本地 > 全局：项目依赖尽量本地安装，npx / uvx 临时运行工具，保持环境纯净。