npm

互動式引導建立 `package.json`，會詢問名稱／版本／描述／進入點等欄位。

-y 接受所有預設值；--init.author '姓名 <e@x>' 覆寫預設

直接以合理預設值（`name` 取自目錄、`version` 為 1.0.0 等）產生 `package.json`——現代的起手式。

安裝 `package.json` 中列出的所有依賴，重新整理 `node_modules` 與 `package-lock.json`。若 `NODE_ENV=production`，會跳過 dev 相依。

--save-exact / -E 鎖定精確版本；--legacy-peer-deps；--force；--no-audit；--prefer-offline

嚴格依據 `package-lock.json` 進行全新安裝。比 `npm install` 更快，先刪除 `node_modules`，且拒絕修改 lockfile——CI 的正確選擇。

--omit=dev 略過 devDependencies；--prefer-offline

新增執行階段依賴（預設 `dependencies`）。會把解析後的版本記錄到 `package-lock.json`，並寫回 `package.json`。

<pkg>@<版本範圍>；--save-dev / -D；--save-exact / -E；--save-optional / -O；--save-prod / -P

安裝特定版本範圍（semver）：精確 `1.2.3`、波浪號 `~1.2.3`、插入號 `^1.2.3`，或 dist-tag 如 `latest`／`next`／`beta`。

加入 `devDependencies`——只在建置／測試階段需要的工具（TypeScript、Jest、ESLint、Prettier）。

全域安裝套件，使其執行檔在每個專案的 PATH 都可用（TypeScript、tsx、create-react-app、http-server）。

從 `node_modules` 與 `package.json` 移除套件。

-D 從 devDependencies 移除；-g 移除全域套件；--save false 略過 manifest 編輯（罕見）

在 `package.json` semver 範圍允許之內升級所有依賴，並同步更新 `package-lock.json`。

--save false 略過 manifest 寫入；--workspace 在 workspaces 內更新

把單一套件升級到符合目前 semver 範圍的最新版本。

把單一套件升級到最新發行版（繞過 semver 範圍，並把範圍重寫為 `^<新版本>`）。

執行 `package.json` 中 `scripts` 區段定義的指令稿。`npm test`、`npm start`、`npm stop`、`npm restart` 是 `npm run X` 的簡寫。

-- silent 抑制 npm 日誌噪音；--if-present 若不存在不要報錯；-- <args> 將後續參數原樣傳給指令稿

把額外的 CLI 參數傳給底層指令稿。`--` 之後的所有內容都會原樣轉發。

從本地或 `npx` 快取的套件執行指令。取代已被棄用的 `npx <command>` 直接呼叫方式。

印出當前專案的依賴樹（頂層 + 傳遞依賴）。有助於找出同一套件的多重複本。

--all；--depth=N 限制深度；--json 輸出 JSON；-g 列出全域

以表格列出每個已安裝版本比 manifest 範圍允許的最新版本還舊的依賴。

--long 詳細；--json 輸出 JSON

顯示套件的 registry metadata——版本、dist-tags、依賴、維護者、儲存庫 URL、README 摘錄。

versions；time；dist-tags；repository.url

產生獨立的 `npm-shrinkwrap.json`（格式與 `package-lock.json` 相同），用於沒有 lockfile 也能重現安裝的應用程式。

印出目前啟用的 registry URL。預設為 `https://registry.npmjs.org/`。

把 npm 指向私有／快取型 registry（GitHub Packages、Verdaccio、中國鏡像）。寫入 `~/.npmrc` 或專案 `.npmrc`。

對已設定的 registry 進行驗證，並把 token 存入 `~/.npmrc`。`npm publish` 之前必須先登入。

--registry=<url> 登入不同的 registry；--scope=<scope> 限制 token 範圍

把當前套件上傳到已設定的 registry。要求 `package.json` 中有 `name`（通常還需要 `version`、`repository`），且登入的使用者具備發佈權限。

--access public|restricted（scoped 套件）；--dry-run；--tag <tag> 以特定 dist-tag 發佈

從 registry 移除特定版本。**強烈建議在發佈後 72 小時內不要執行**——npm 雖支援但並不鼓勵。

把某版本標記為已棄用，並附上 npm 在安裝時會印出的訊息。引導使用者改用修正版而不刪除歷史的正確做法。

對已安裝的依賴樹執行安全性稽核，從 npm registry 取得公告。

--json；--omit=dev 略過 dev 依賴；--audit-level=low|moderate|high|critical

自動把套件升級到能解決公告且最接近的非破壞性版本。`npm audit fix --force` 會接受 semver 主版號跳躍，僅在你能接受時使用。

--force；--dry-run

清除全域 npm 快取（POSIX 為 `~/.npm`）。在切換 registry 或排查奇怪的安裝錯誤後使用。

驗證已快取 tarball 的完整性而不刪除。可隨時安全地執行。

把套件安裝到 monorepo 內的單一具名 workspace（定義於 `package.json` 的 `workspaces`）。

在 monorepo 的每個 workspace 執行指令稿。`-w <name>` 只執行單一 workspace。

--if-present 若不存在不要報錯

執行環境診斷（Node 版本、registry 可達性、快取狀態、Git 是否存在）——排查問題時很有用。

印出當前專案直接依賴的贊助連結（供維護者贊助 OSS 使用）。

從 CLI 直接修改 `package.json` 中的欄位，無需開啟編輯器。適合在指令稿／hooks 中使用。