なぜ「npm install」だけではプロの現場は務まらないのか？
フロントエンド開発の入り口に立つ皆さん、こんにちは。npmを使ってライブラリをインストールする際、なんとなく「install」コマンドを叩いていませんか？
実は、開発環境（ローカルPC）と本番環境（CI/CDサーバー）では、パッケージ管理ツールに対する「期待値」が全く異なります。開発環境は「便利さ」が求められますが、本番環境で最も必要なのは「再現性（Consistency）」です。
今日は、プロの現場で絶対に避けては通れない `npm install` と `npm ci` の深淵なる違いと、なぜ `package-lock.json` があなたのプロダクトの「守護神」なのかを解説します。
—
1. そもそも「npm install」は何をしているのか？
`npm install` は、いわば「柔軟な相談役」です。
皆さんの `package.json` には、`”react”: “^18.2.0″` のようにバージョンが書かれています。この `^`（キャレット）記号は、「18.2.0以上、かつ19.0.0未満の最新版があればそれを使ってね」という意思表示です。
1. 解決（Resolution）: `package.json` を見て、条件に合うライブラリを探しに行きます。
2. 更新（Update）: もし新しいバージョンが出ていれば、`package-lock.json` を書き換えて、新しいバージョンをダウンロードしようとします。
ここで問題が発生します。
チームメンバーAさんのPCでインストールした時と、3ヶ月後にCI/CDサーバーでインストールした時で、環境が微妙に異なってしまう可能性があるのです。これこそが「私の環境では動くのに、なぜか本番ではバグる」という悪夢の正体です。
—
2. 「npm ci」という名の精密な実行計画
一方、`npm ci`（Clean Installの略）は、一切の忖度を許さない「厳格な執行官」です。
`npm ci` は以下のルールで動きます。
- package-lock.json を絶対視: `package.json` の記述は無視し、ロックファイルに書かれた「全く同一のバージョン」のみをインストールします。
- node_modules を強制削除: 過去のゴミや依存関係の不整合を防ぐため、一度フォルダを完全に消去してから再構築します。
- 更新を許さない: ロックファイルがない、あるいは不整合がある場合はエラーを吐いて停止します。
CI/CD環境で「npm ci」を使うべき理由
CI/CD（継続的インテグレーション）の役割は、常に「同じソースコードから、同じ成果物を作ること」です。もしデプロイのたびに「おっ、新しいライブラリが出てるな、これも入れとこう」と勝手に更新が走ったらどうなるでしょう？ デプロイのたびに予期せぬ破壊的変更が混入するリスクを抱えることになります。
—
3. 図解：package-lock.json は「地図」である
初心者の方がよくやってしまう失敗が、`package-lock.json` を `.gitignore` に入れてしまうことです。これは、「地図を捨てて冒険に出る」のと同じです。
[package.json]
- 目的地（欲しいライブラリの概要）だけが書かれている
- 例：東京から大阪へ行く（大雑把な指示）
[package-lock.json]
- 詳細なルートマップ
- 例：どの交差点を何メートル進み、どの信号で曲がるかという「全データのハッシュ値と依存関係」
`package-lock.json` があることで、npmは「どのライブラリの、どのバージョンの、どのサブモジュールまで」をインストールすべきかをミリ単位で把握できます。
—
4. 実践：明日から使える「事故らない」運用術
開発環境と本番環境でコマンドを使い分けるのが、プロの作法です。
開発環境（ローカル）
新しいライブラリを追加するときだけ `npm install` を使います。これで自動的にロックファイルが更新されます。
ライブラリを追加し、package.jsonとpackage-lock.jsonを同期させる
npm install lodash
本番環境・CI/CDサーバー（GitHub Actions等）
ここでは絶対に `npm ci` です。
.github/workflows/deploy.yml の例
steps:
- uses: actions/checkout@v3
- name: Setup Node
uses: actions/setup-node@v3
with:
node-version: ’18’
# ここが重要！
# package-lock.jsonに基づいて、再現性の高いインストールを行う
- name: Install dependencies
run: npm ci
—
最後に：なぜこれを学べば「楽」になるのか
初心者のうちは「動けばいいや」とインストールを繰り返すかもしれません。しかし、大規模なプロジェクトになればなるほど、依存関係のズレは「解決不可能な地獄」へと変わります。
「npm ci を使う」と決めるだけで、あなたはデプロイ時の「謎のバグ」から解放されます。
開発とは、いかに「運」を排除し、「論理」でシステムを構築するかというゲームです。この小さなコマンドの使い分けが、あなたの書くコードの信頼性を底上げし、結果としてチームメンバーからの絶大な信頼を得ることにつながります。
さあ、まずは今すぐリポジトリの `package-lock.json` が正しく管理されているか確認することから始めてみてください。あなたの開発ライフが、より安定したものになることを願っています！