Какие npm команды чаще используешь и для чего

Что проверяют

Работали ли вы с зависимостями руками, а не только запускали npm start. Главное различие, которое ищут: npm install против npm ci и роль package-lock.json. Следом спрашивают, как вы обновляете пакеты и разбираетесь с уязвимостями.

Как отвечать

Сгруппируйте команды по задачам:

• установка: npm i ставит зависимости и обновляет lock-файл, если менялся package.json; npm i -D pkg добавляет в devDependencies, --save-exact фиксирует точную версию;
• CI: npm ci ставит строго по package-lock.json, сначала удаляет node_modules и падает, если lock расходится с package.json. Сборка воспроизводимая, поэтому в пайплайнах берут её;
• скрипты: npm run build, npm test, npm start. Аргументы передаются после --, например npm test -- --watch, есть хуки prebuild и postbuild;
• разовый запуск: npx запускает бинарник пакета без глобальной установки;
• обновление: npm outdated показывает устаревшее, npm update поднимает версии в пределах semver-диапазонов и мажорные не трогает. Мажорные обновляют отдельно, через npm i pkg@latest, прочитав changelog;
• разбор дерева: npm ls pkg и npm explain pkg показывают, откуда взялась версия и почему пакет стоит дважды; подменить вложенную версию помогает поле overrides;
• безопасность: npm audit и npm audit fix;
• свои библиотеки: npm link, в монорепозитории workspaces и флаг -w.

Закончите своим примером: как чинили поломку после обновления или ускорили CI переходом на npm ci с кэшем.

Где спотыкаются

Используют npm install в CI. Сборка перестаёт быть воспроизводимой, а lock-файл меняется прямо на сервере.

При проблемах с зависимостями удаляют package-lock.json и ставят всё заново. Вместе с проблемой уезжают все зафиксированные версии, и приезжают новые баги.

Запускают npm audit fix --force не глядя. Он может поднять мажорную версию и сломать сборку, а часть уязвимостей сидит в devDependencies, которые до пользователя вообще не доходят.