npm ist sowohl eine öffentliche Paketregistrierung als auch das dazugehörige Kommandozeilenwerkzeug. JavaScript- und Node.js-Projekte beschreiben ihre Abhängigkeiten in der Datei package.json. Der Paketmanager lädt die benötigten Versionen, führt definierte Skripte aus und erzeugt eine Sperrdatei, damit Installationen möglichst reproduzierbar bleiben.
Die Webseite hilft bei der Auswahl eines Pakets. Sie zeigt Dokumentation, veröffentlichte Versionen, Abhängigkeiten und Verweise auf Quellcode. Downloadzahlen allein sind kein Qualitätsnachweis. Wichtiger sind regelmäßige Pflege, nachvollziehbare Releases, eine passende Lizenz, offene Sicherheitsprobleme und die tatsächliche Größe des Abhängigkeitsbaums.
Beim Einsatz sollten Versionsbereiche bewusst gewählt und Sperrdateien mit dem Projekt gespeichert werden. Automatische Sicherheitsprüfungen können bekannte Schwachstellen melden, ersetzen aber keine Bewertung der Änderung. Vor größeren Aktualisierungen sind Changelogs und Migrationsempfehlungen zu lesen.
Worauf bei Paketen zu achten ist
- Wartungszustand, Lizenz und Herkunft eines Pakets kontrollieren.
- Lock-Dateien für reproduzierbare Installationen verwenden.
- Aktualisierungen testen und gemeldete Sicherheitsprobleme einordnen.
Ein kleines Paket kann viele indirekte Abhängigkeiten mitbringen. Ein Blick auf den gesamten Abhängigkeitsbaum hilft, unnötige Komplexität und Risiken früh zu erkennen.