npmとは

npm は、JavaScript（Node.js）のパッケージ（ライブラリやツール）を公開・入手・管理するための仕組みです。パッケージを入れたり更新したりするコマンドのツールと、パッケージが公開されている場所（npm レジストリ）の両方を指します。

主なコマンド

• npm install：package.json に書かれた 依存関係 のパッケージを入れる
• npm ci：ロックファイル（package-lock.json）どおりに入れる（CI/CD 向け）
• npm run build：package.json に書いた ビルド などの処理を実行する
• npm audit：入れているパッケージに 脆弱性 がないかを確認する

セキュリティ上の注意

npm は誰でもパッケージを公開できるため、サプライチェーン攻撃 の標的になりやすい場所です。

• 有名なパッケージに似た名前の偽のパッケージ（タイポスクワッティング）に注意する
• 開発者のアカウントが乗っ取られ、正規のパッケージに不正なコードが入った更新が公開されることがある
• インストール時に自動で実行される処理（install スクリプト）で、シークレット を盗まれることがある
• ロックファイルでバージョンを固定し、更新の内容を確認してから取り込む

関連用語

依存関係、ロックファイル、サプライチェーン攻撃、GHSA