Node.js a NPM v roce 2026: Event Loop, produkční stack, srovnání s PHP a Python

Node.js a NPM: od „Hello World" po vysoce zatížené systémy

Pokud váš backend „koktá" při každém dotazu do databáze — uživatel čekat nebude. Odejde ke konkurenci. Node.js se stal standardem pro budování rychlých škálovatelných služeb a NPM je nástroj, který umožňuje nepsat od nuly to, co komunita už dávno napsala a otestovala.

Typická situace: spouštíte API pro mobilní aplikaci nebo monitorovací službu. Tradiční synchronní stack zpracovává požadavky sekvenčně — zatímco jeden čeká na odpověď z databáze, ostatní stojí ve frontě. Node.js funguje jinak: pošle dotaz do databáze, nečeká, přejde k dalšímu úkolu a vrátí se k výsledku, když je hotový. Na VPS se 4 vCPU Express aplikace na Node.js zvládá 1 200–1 500 RPS — to je 4–5× víc než PHP-FPM s Laravel na stejném hardwaru.

Co je Node.js

Node.js není programovací jazyk, ale runtime prostředí. Bere engine V8 (ten samý, co je v Google Chrome) a umožňuje JavaScriptu běžet na serveru.

Neblokující I/O. Node.js se nezastavuje, zatímco se soubor zapisuje na disk nebo zatímco čeká na odpověď od externího API. Zařadí úlohu do fronty a přejde k další. Když je výsledek hotový — vrátí se k němu.

Škálovatelnost. Ideální pro mikroslužby, chaty, streaming a real-time systémy. Uber, Netflix, PayPal — všichni postaveni na Node.js ne proto, že je to módní, ale proto, že architektura Event Loop umožňuje jednomu procesu zpracovávat tisíce současných spojení bez vytváření samostatného vlákna pro každé.

Jednotný stack. JavaScript na frontendu i backendu. To není jen pohodlí — znamená to méně přepínání kontextu pro vývojáře, sdílené utility mezi klientem a serverem a jeden package.json pro celý projekt v monorepo přístupu.

Event Loop: jádro výkonu Node.js

Abyste pochopili, proč je Node.js rychlý na I/O úlohách, musíte rozumět Event Loop. To není abstrakce — je to konkrétní mechanismus, který určuje, jak se vykonává každý řádek vašeho kódu.

Schéma ukazuje tři komponenty, které spolupracují:

Call Stack — zásobník volání. Sem se dostávají funkce, které se právě provádějí. JavaScript je jednovláknový, takže Call Stack je jen jeden — funkce se provádějí postupně.

WebAPIs / libuv — když kód narazí na asynchronní operaci (dotaz do databáze, čtení souboru, setTimeout), předá se sem. Call Stack nečeká — je volný pro další úlohu.

Callback Queue — když asynchronní operace skončí, její callback se zařadí do fronty. Event Loop neustále kontroluje: pokud je Call Stack prázdný — vezme další callback z fronty a vloží ho do stacku k provedení.

Výsledek: zatímco jeden požadavek čeká na odpověď z PostgreSQL (to je 5–50 ms), Node.js stihne zpracovat stovky dalších požadavků. Proto jeden proces Node.js zvládne zátěž, která by vyžadovala desítky vláken v tradičním modelu „vlákno na požadavek."

NPM: největší registr balíčků na světě

NPM (Node Package Manager) je správce závislostí, který se instaluje společně s Node.js. K roku 2026 obsahuje registr NPM přes 2,5 milionu balíčků — největší softwarový ekosystém v historii.

Místo toho, abyste týden psali autorizační systém nebo zpracovatel obrázků — jeden příkaz v terminálu:

# Framework pro API
npm install express
# Validace a sanitizace vstupních dat
npm install joi
# ORM pro PostgreSQL
npm install prisma
# Proměnné prostředí
npm install dotenv
# Ochrana HTTP hlaviček
npm install helmet

package.json a package-lock.json

package.json je „pas" vašeho projektu. Jsou v něm zapsány všechny závislosti s rozsahy verzí (např. "express": "^4.18.0" — jakákoliv 4.x od 4.18 výš).

package-lock.json fixuje přesné verze každého balíčku a všech jeho závislostí. Bez něj mohou dva vývojáři dostat různé verze knihoven ze stejného package.json — a to je zdroj bugů typu „u mě to funguje, na serveru ne." Lock soubor se vždy commituje do gitu.

npx — spuštění bez instalace

npx je samostatný nástroj, který se často plete s npm. Spouští balíčky bez globální instalace. Místo npm install -g create-next-app && create-next-app — prostě npx create-next-app. Balíček se stáhne, spustí a nezůstane v systému.

Bezpečnost NPM balíčků

Supply chain útoky přes NPM jsou reálná hrozba. V letech 2024–2025 došlo k několika závažným případům, kdy populární balíčky obsahovaly škodlivý kód kradoucí tokeny nebo krypto klíče. Kromě zranitelností v závislostech nezapomínejte ani na bezpečnost samotného kódu — SQL injekce zůstávají jedním z nejčastějších útoků na backend. Základní pravidla ochrany NPM:

• npm audit — kontroluje závislosti na známé zranitelnosti. Spouštějte po každém npm install
• Neinstalujte balíčky s <100 stáhnutími týdně bez kontroly kódu
• Vždy commitujte package-lock.json — fixuje integrity hashe každého balíčku
• npm ci místo npm install na CI/CD — instaluje přesně to, co je v lock souboru, bez „aktualizace rozsahů"

Node.js vs NPM: rozdíl

Zkráceně: Node.js je motor. NPM je obchod s díly pro tento motor.

Instalací Node.js automaticky získáte i NPM a npx. Kontrola verzí:

node -v    # v22.14.0 (LTS, doporučená k květnu 2026)
npm -v     # 10.x
npx -v     # 10.x (součást npm)

Od nuly k funkčnímu API za 5 minut

1. Instalace přes NVM

NVM (Node Version Manager) je správný způsob instalace Node.js. Umožňuje mít více verzí současně a přepínat mezi nimi bez rozbití systému. A hlavně — nepotřebuje sudo pro globální balíčky, což eliminuje celou třídu problémů s oprávněními.

# Instalace NVM
curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.40.3/install.sh | bash
# Instalace Node.js 22 LTS
nvm install 22
# Ověření
node -v   # v22.14.0
npm -v    # 10.x

2. Inicializace projektu

# Vytvoření package.json s výchozím nastavením
npm init -y

3. První server na Express

npm install express

Vytvořte app.js:

const express = require('express');
const app = express();
app.get('/', (req, res) => res.send('API funguje'));
app.get('/health', (req, res) => {
  res.json({ status: 'ok', uptime: process.uptime() });
});
app.listen(3000, () => console.log('Server spuštěn na portu 3000'));

Health-check endpoint není dekorace. Slouží pro monitoring: PM2, Nginx nebo externí služba kontrolují, zda je aplikace živá a jak dlouho běží.

Produkce: Nginx + PM2 + Node.js

Spustit node app.js v terminálu je vývoj. Pro produkci je třeba stack, který zajišťuje automatický start, klasterizaci, reverse proxy a logování. Náš standardní stack: Nginx před Node.js jako reverse proxy, PM2 jako process manager.

PM2: process manager

# Globální instalace PM2
npm install -g pm2

Soubor ecosystem.config.js — konfigurace definující jak aplikaci spouštět:

module.exports = {
  apps: [{
    name: "node-app",
    script: "./dist/main.js",
    instances: "max",        // Využívá všechna jádra CPU
    exec_mode: "cluster",    // Cluster mode pro rozdělení zátěže
    env: {
      NODE_ENV: "production",
      PORT: 3000
    },
    error_file: "./logs/err.log",
    out_file: "./logs/out.log",
    log_date_format: "YYYY-MM-DD HH:mm:ss"
  }]
}

Co PM2 dává:

• Automatický restart — pokud proces spadne kvůli chybě, PM2 ho zvedne za sekundu
• Cluster mode — rozděluje zátěž na všechna jádra CPU. Na 4jádrovém VPS to jsou 4 procesy místo jednoho
• Logování — stdout a stderr se ukládají do souborů s datem
• Monitoring — pm2 monit ukazuje CPU, RAM, Event Loop Latency v reálném čase

Takto vypadá pm2 list na fungujícím produkčním serveru:

A toto jsou detaily konkrétního procesu přes pm2 describe — verze Node.js 22.14.0, production prostředí, cesty k logům, uptime:

Nginx jako reverse proxy

Nginx stojí před Node.js a přebírá SSL terminaci, kompresi, cachování statických souborů a proxuje požadavky na aplikaci. Podrobné porovnání Nginx a Apache — v našem článku Nginx vs Apache. Zde minimální konfig pro Node.js:

server {
    listen 80;
    server_name api.yourdomain.com;
    location / {
        proxy_pass http://localhost:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Řádky s Upgrade a Connection — podpora WebSocket. Bez nich real-time funkcionalita (chaty, notifikace) nebude fungovat. X-Real-IP předává skutečnou IP adresu klienta — bez toho Node.js vidí všechny požadavky jako 127.0.0.1. Pro ochranu API před přetížením stojí za to také nastavit DDoS ochranu na úrovni Nginx a sítě.

Případ: eCommerce API na NestJS

RESTful API pro mobilní aplikaci a webovou vitrínu. Stack: NestJS (TypeScript framework nad Express), PostgreSQL, Redis. I když příklady v článku jsou v čistém JavaScriptu — pro reálné produkční projekty doporučujeme TypeScript. Typová kontrola chytá chyby ještě před spuštěním kódu a NestJS byl pro TypeScript navržen od začátku.

Objevené problémy:

První — únik paměti. Heap rostl o 50–100 MB denně a za týden proces spotřeboval veškerou RAM. Příčina: cachování výsledků databázových dotazů přímo v paměti Node.js procesu (objekt v globální proměnné). Každý unikátní dotaz přidal nový záznam, ale záznamy se nikdy nemazaly.

Řešení: přesunuli cachování do Redis s TTL (dobou životnosti) na každý klíč. Paměť Node.js procesu se stabilizovala na 150–200 MB, Redis držel cache odděleně a sám čistil prošlé záznamy.

Druhý problém — zpoždění při zpracování obrázků „za chodu" (resize thumbnailů při uploadu). Každá operace blokovala Event Loop na 200–500 ms — a celé API pro ostatní uživatele zamrzlo.

Řešení: přesunuli zpracování obrázků do fronty BullMQ se samostatnými worker procesy. API přijme obrázek, hodí úlohu do fronty a vrátí odpověď okamžitě. Worker na pozadí zpracuje obrázek a uloží výsledek. Event Loop zůstává volný.

Top 5 chyb při deployi Node.js

Tyto chyby vidíme pravidelně. Každá z nich dříve či později vede k incidentu — otázka je jen kdy.

Výkon: Node.js vs PHP vs Python

Interní měření na VPS (4 vCPU, 8 GB RAM, NVMe). Testován byl jednoduchý API endpoint provádějící SELECT z PostgreSQL a vracející JSON:

Node.js dominuje na I/O úlohách — API, WebSocket, streaming. Ale to neznamená, že PHP nebo Python jsou „špatné." Laravel vyhrává rychlostí vývoje pro CRUD aplikace, Python je nenahraditelný pro ML úlohy. Volba stacku je určena úlohou, ne benchmarky.

Kdy Node.js není nejlepší volba

Node.js je jednovláknový ze své podstaty. CPU-bound úlohy jsou to, kde zaostává:

• Těžké matematické výpočty, ML inference — Python s NumPy nebo Go budou rychlejší
• Zpracování videa/audia — ffmpeg je lepší spouštět jako samostatný proces, ne přes Node.js binding
• Komprese velkých souborů — zlib v Node.js blokuje Event Loop na velkých objemech

Pravidlo: pokud úloha „čeká" (I/O) — Node.js je ideální. Pokud úloha „počítá" (CPU) — existují lepší nástroje, nebo přesuňte do Worker Threads.

Docker nebo PM2: co zvolit pro deploy

Dva přístupy ke spouštění Node.js v produkci. Oba fungují, ale pro různé situace:

PM2 — pro monolitní projekty, kde je třeba maximální výkon s minimálními režijními náklady. Jednodušší údržba pro malé týmy.

Docker — pro mikroservisní architektury, složité závislosti (různé verze knihoven pro různé služby) nebo když používáte CI/CD pro automatický deploy.

A co Deno a Bun?

Deno (od autora Node.js Ryana Dahla) a Bun — dvě alternativní runtime prostředí, která se objevila v letech 2020–2023.

Deno opravuje architektonická rozhodnutí, která sám autor považuje za chyby: vestavěná podpora TypeScriptu, moduly přes URL místo node_modules, oprávnění ve výchozím stavu (proces nemá přístup k souborovému systému, dokud to explicitně nepovolíte). Deno 2.0 (2024) přidal kompatibilitu s NPM balíčky, čímž odstranil hlavní bariéru migrace.

Bun — postaven na Zig místo C++, zaměřen na rychlost. Vestavěný bundler, test runner a package manager. Porovnání rychlosti instalace závislostí je jedním z nejžhavějších témat mezi vývojáři v roce 2026:

Realita k roku 2026: Node.js stále drží 95 %+ trhu serverového JavaScriptu. Deno a Bun jsou zajímavé projekty s konkrétními výhodami, ale ekosystém, stabilita, dokumentace a počet produkčních deployů Node.js zůstávají nedostižné. Pro nový projekt — vyzkoušejte Bun nebo Deno. Pro produkční API s platícími zákazníky — Node.js zůstává bezpečnou volbou.

Často kladené dotazy