はじめに
JavaScript / Node.js開発において、パッケージマネージャ（Package Manager）は日々の作業に欠かせないツールです。
長年業界標準だった npm に加え、インストール速度とディスク容量の大幅な削減を売りにする pnpm や、独自のゼロインストール（Zero-installs）やPnP（Plug’n’Play）モードを備える yarn など、選択肢が増えています。
「どれを使っても結果（node_modules の中身）は同じでは？」と思われがちですが、内部の依存解決ロジックやディスクへの保存方法、セキュリティ面における挙動は大きく異なります。本記事では、これら3つの主要ツールの特徴と、最適な選択基準を解説します。
1. 各パッケージマネージャのパッケージ保存方法の違い
最大の違いは、ローカルディスク上にどのようにパッケージファイルを配置し、node_modules ディレクトリを構成するかという「アーキテクチャ」にあります。
① npm (フラット型構造)
npm（v3以降）は、依存関係ツリーを可能な限り平坦化（フラット）にして node_modules 直下に配置します。
- 動作: AというライブラリがBに依存している場合、
node_modules/Aとnode_modules/Bを同階層に配置します。 - 課題（幽霊依存 / Phantom Dependency）:
プロジェクト側で
package.jsonに明示的に記述していないパッケージ（B）であっても、他のライブラリが依存していればnode_modules直下に配置されるため、プログラム内から直接importできてしまいます。これは、依存元のライブラリがアップデートされてBが不要になった際、突然プログラムがクラッシュする危険性を孕みます。
② pnpm (コンテンツアドレス・ストア & ハードリンク構造)
pnpmは、ディスク容量の無駄を徹底的に排除した先進的な構造を採用しています。
- 動作: 全プロジェクト共通のグローバルストア（
~/.pnpm-store）にすべてのパッケージの実体を1つだけ保存します。各プロジェクトのnode_modules内には、その実体への ハードリンク（およびシンボリックリンク） のみを生成します。 - メリット:
- ディスク容量の劇的な節約: 同一パッケージの同じバージョンが10個のプロジェクトで使われていても、ディスク容量は1個分しか消費されません。
- 幽霊依存の防止:
node_modulesのトップレベルにはpackage.jsonで明示的に指定したパッケージのみが露出するため、不正確なインポートを構造的に防止できます。
③ yarn (Plug’n’Play 構造)
Yarn Berry（v2以降）で導入された Plug'n'Play (PnP) モードは、そもそも node_modules という巨大なフォルダ自体を作成しません。
- 動作: 依存関係をキャッシュ用の単一の
.zipファイル群として保存し、どのコードがどの依存ファイルを必要としているかを記したマッピングファイル（.pnp.cjs）を生成します。実行時はNode.jsのモジュールローダーをフックして、Zipファイルから直接読み込みます。 - メリット:
- ゼロインストール (Zero-installs): 依存関係（Zipファイル）ごとGitレポジトリにコミットできるため、
git cloneしてすぐにnpm installなしで起動できます。
- ゼロインストール (Zero-installs): 依存関係（Zipファイル）ごとGitレポジトリにコミットできるため、
2. インストール速度と容量の比較
各マネージャの特性をまとめました。
| 項目 | npm | pnpm | yarn (PnPモード) |
|---|---|---|---|
| node_modulesの作成 | 作成する | 作成する（シンボリックリンク） | 作成しない (Zip解決) |
| ディスク容量 | 大 (プロジェクトごと重複) | 小 (グローバル共通) | 小 (Zip圧縮保存) |
| セキュリティ (幽霊依存対策) | 弱い | 極めて強い | 極めて強い |
| インストール速度 | 普通 | 高速 (ハードリンク生成) | 極めて高速 (Zip展開不要) |
3. どれを選ぶべきか？選択基準
プロジェクトの要件やチームの状況に応じて、以下のように選ぶのが現在のデファクトスタンダードです。
1. ディスク容量とインストール速度を最優先するなら: pnpm
マルチプロジェクト（モノレポ構造）の開発や、ローカルPCのSSD容量を空けたい場合に最適です。多くの場合、ビルドやCI/CDパイプラインのインストールステージも数倍高速化します。
2. コンプライアンス・安定性を重視する企業プロジェクトなら: npm
Node.jsに標準同梱されているため、余計なグローバルツールのインストール（セットアップ作業）が不要です。サードパーティ製ツールやレガシーなビルドツール（Webpackローダーなど）との互換性トラブルが最も少ない安心感があります。
3. デプロイの超高速化やCIでのビルドゼロ化を目指すなら: yarn (PnP)
Gitリポジトリに依存関係を含めてクローン後即実行できる「Zero-installs」の恩恵を受けたい場合に強力な選択肢となります。ただし、PnP非対応の古いパッケージと競合した際に、設定ファイルのカスタマイズが必要になる場合があります。
まとめ
パッケージマネージャの内部動作を理解することは、開発中の謎のインポートエラーやコンテナビルド時間の肥大化を防ぐために重要です。 新規プロジェクトを立ち上げる際は、モノレポでの強さやセキュリティ面の堅牢性から、pnpm または標準的な npm を選ぶことから検討することをおすすめします。