輸入 npm install 命令並敲下回車後，會經歷如下幾個階段（以 npm 5.5.1 為例）：

執行工程自身 preinstall

當前 npm 工程如果定義了 preinstall 鉤子此時會被執行。

確定首層依賴模組

首先需要做的是確定工程中的首層依賴，也就是 dependencies 和 devDependencies 屬性中直接指定的模組（假設此時沒有新增 npm install 引數）。

工程本身是整棵依賴樹的根節點，每個首層依賴模組都是根節點下面的一棵子樹，npm 會開啟多程序從每個首層依賴模組開始逐步尋找更深層級的節點。

獲取模組

獲取模組是一個遞迴的過程，分為以下幾步：

獲取模組資訊。在下載一個模組之前，首先要確定其版本，這是因為 package.json 中往往是 semantic version（semver，語義化版本）。此時如果版本描述檔案（npm-shrinkwrap.json 或 package-lock.json）中有該模組資訊直接拿即可，如果沒有則從倉庫獲取。如 packaeg.json 中某個包的版本是 ^1.1.0，npm 就會去倉庫中獲取符合 1.x.x 形式的最新版本。獲取模組實體。上一步會獲取到模組的壓縮包地址（resolved 欄位），npm 會用此地址檢查本地快取，快取中有就直接拿，如果沒有則從倉庫下載。查詢該模組依賴，如果有依賴則回到第1步，如果沒有則停止。

模組扁平化（dedupe）

上一步獲取到的是一棵完整的依賴樹，其中可能包含大量重複模組。比如 A 模組依賴於 loadsh，B 模組同樣依賴於 lodash。在 npm3 以前會嚴格按照依賴樹的結構進行安裝，因此會造成模組冗餘。

從 npm3 開始預設加入了一個 dedupe 的過程。它會遍歷所有節點，逐個將模組放在根節點下面，也就是 node-modules 的第一層。當發現有重複模組時，則將其丟棄。

這裡需要對重複模組進行一個定義，它指的是模組名相同且 semver 相容。每個 semver 都對應一段版本允許範圍，如果兩個模組的版本允許範圍存在交集，那麼就可以得到一個相容版本，而不必版本號完全一致，這可以使更多冗餘模組在 dedupe 過程中被去掉。

比如 node-modules 下 foo 模組依賴 lodash@^1.0.0，bar 模組依賴 lodash@^1.1.0，則 ^1.1.0 為相容版本。

而當 foo 依賴 lodash@^2.0.0，bar 依賴 lodash@^1.1.0，則依據 semver 的規則，二者不存在相容版本。會將一個版本放在 node_modules 中，另一個仍保留在依賴樹裡。

舉個例子，假設一個依賴樹原本是這樣：

node_modules-- foo---- lodash@version1

-- bar---- lodash@version2

假設 version1 和 version2 是相容版本，則經過 dedupe 會成為下面的形式：

node_modules-- foo

-- bar

-- lodash（保留的版本為相容版本）

假設 version1 和 version2 為非相容版本，則後面的版本保留在依賴樹中：

node_modules-- foo-- lodash@version1

-- bar---- lodash@version2

安裝模組

這一步將會更新工程中的 node_modules，並執行模組中的生命週期函式（按照 preinstall、install、postinstall 的順序）。

執行工程自身生命週期

當前 npm 工程如果定義了鉤子此時會被執行（按照 install、postinstall、prepublish、prepare 的順序）。

最後一步是生成或更新版本描述檔案，npm install 過程完成。